Estou tentando implementar o TLS através do mod_nss no Apache (RHEL 7). De acordo com a documentação , instalei mod_nss e removeu mod_ssl .
Eu segui as etapas descritas na documentação (veja o link acima), especialmente certificando-se de que a diretiva NSSProtocol é a seguinte (de acordo com os documentos, isso desativa todas as versões do protocolo SSL e TLS, exceto TLS versão 1 e superior):
NSSProtocol TLSv1.0,TLSv1.1
Em seguida, reiniciei o Apache e testei se o SSLv3 está ativado:
openssl s_client -connect localhost:443 -ssl3
que retorna:
[root@box1 ~]# openssl s_client -connect localhost:443 -ssl3
CONNECTED(00000003)
139894684407712:error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number:s3_pkt.c:339:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 5 bytes and written 7 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : SSLv3
Cipher : 0000
Session-ID:
Session-ID-ctx:
Master-Key:
Key-Arg : None
Krb5 Principal: None
PSK identity: None
PSK identity hint: None
Start Time: 1442107224
Timeout : 7200 (sec)
Verify return code: 0 (ok)
---
[root@box1 ~]#
Como você pode ver, o handshake é concluído (conforme indicado pelo handshake SSL leu 5 bytes e gravou 7 bytes ), o que me faz duvidar de que o SSLv3 foi realmente desativado.
Eu passei incontáveis horas procurando uma solução, mas tudo que consegui encontrar me diz como desabilitar o SSLv3 através do mod_ssl, não mod_nss.
Qualquer ideia ou esclarecimento será mais do que bem-vindo.
Nada de ruim aconteceu, já que você recebeu um erro de handshake:
error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number
Como o cliente / servidor pode decidir que o número da versão está errado sem enviar bytes?
Remova o -ssl3 do seu comando e você verá a diferença:
SSL handshake has read 4493 bytes and written 499 bytes
Além disso, se a conexão for estabelecida, s_client aguardará sua entrada para transferi-la para o servidor. Sem conexão, ela retorna.
Tags ssl rhel apache-httpd