Tomcat에서 SSLv3을 어떻게 비활성화합니까?

8

SSLv3 POODLE 취약점 (CVE-2014-3566) 을 어떻게 패치 / 해결 방법에 대한 수정 프로그램을 제공하십시오 ? Tomcat을 위해.

아래 링크를 시도했지만 도움이되지 않습니다 : tomcat-users mailing list archives

security ssl tomcat7

— 코너 렐렌
소스

1

여기서 실제 답변은 Tomcat 버전에 따라 다릅니다. Tomcat 6 및 Tomcat 7에는 다른 구성 지시문이 있습니다. Tomcat 6은 6.0.32 부근에 특정 SSL 지시문을 추가했습니다. 구성 지시문은 JSSE 구절 APR / 네이티브 커넥터를 사용 중인지에 따라 다릅니다. 매개 변수에 지정된 TLS 지원은 Java 버전에 따라 다릅니다.

— Stefan Lasiewski

또한 ServerFault : serverfault.com/questions/637649/…를

— Stefan Lasiewski

7

server.xml 커넥터에 아래 문자열을 추가하십시오.

sslEnabledProtocols="TLSv1, TLSv1.1, TLSv1.2"

그런 다음 제거

sslProtocols="TLS"

확인하다

http://poodlebleed.com/
https://www.ssllabs.com/ssltest/

— 코너 렐렌
소스

Tomcat6에서는 작동하지 않습니다.

— Stefan Lasiewski

다음은 Tomcat 7 지침입니다. 6의 경우이 페이지로 이동하여 "TLS"( tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html)를 검색 하거나 아래 Marco Polo의 답변을 확인하십시오.

— GlenPeterson

1

흠, Tomcat 6 문서가 지원한다고 말하고의 sslEnabledProtocols페이지에는 언급이 없습니다 sslProtocols. Tomcat 문서의 부정확성입니까, 아니면 JVM에 종속적입니까?

— Bradley

@Bradley Tomcat 6은 Tomcat 6.0.36 이후에 이러한 지시문을 변경했습니다. serverfault.com/a/637666/36178

— Stefan Lasiewski

2

사용

sslEnabledProtocols="TLSv1, TLSv1.1, TLSv1.2"

우리를 위해 일하지 않았다. 우리는 사용해야했다

sslProtocols="TLSv1, TLSv1.1, TLSv1.2"

sslEnabledProtocols완전히 배제 했습니다.

— 마르코 폴로
소스

Tomcat의 버전은 무엇입니까?

— GlenPeterson

tomcat 6에서 테스트 및 확인되었습니다.

— RobinCominotto

오타입니까? (복수) sslProtocol대신 (단수) 을 의미 했습니까 sslProtocols? 톰캣 문서는 말을sslProtocol 하지 sslProtocols.

— Stefan Lasiewski

글쎄, sslProtocolsTomcat 6에서도 잘 작동합니다. 문서에 sslProtocols 만 언급되어있는 것이 이상합니다 .

— Stefan Lasiewski

2

모든 최신 노트 브라우저는 TLS1 이상에서 작동 합니다. 더 이상 안전한 SSL 프로토콜이 없으므로 더 이상 안전한 웹 사이트에 대한 IE6 액세스가 없습니다.

몇 초 안에 nmap으로이 취약점에 대해 서버를 테스트하십시오 .

nmap --script ssl-cert,ssl-enum-ciphers -p 443 www.example.com

ssl-enum-ciphers에 "SSLv3 :"섹션이나 다른 SSL 섹션이 있으면 서버가 취약한 것입니다.

Tomcat 7 웹 서버에서이 취약점을 패치하려면 server.xml커넥터에서

sslProtocols="TLS"

(또는 sslProtocol="SSL"유사한) 다음과 같이 바꾸십시오 :

sslEnabledProtocols="TLSv1, TLSv1.1, TLSv1.2"

그런 다음 Tomcat을 다시 시작하고 다시 테스트하여 SSL이 더 이상 허용되지 않는지 확인하십시오. 올바른 sslEnabledProtocols문자열을 주신 Connor Relleen에게 감사드립니다 .

— 글렌 피터슨
소스

0

Tomcat 6의 경우 위의 작업 외에도 다음을 수행해야했습니다.

에서 server.xml커넥터, 추가 :

ciphers="TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA"

출처 : https://forums.openclinica.com/discussion/15696/firefox-39-new-ssl-cipher-security-setting-error-tomcat-6-fix

— li 리호
소스