Como desabilito o SSLv3 no tomcat?

8

Forneça a correção da vulnerabilidade Como corrigir / solução alternativa da vulnerabilidade SSLv3 POODLE (CVE-2014-3566)? para o Tomcat.

Eu tentei seguir o link abaixo, no entanto, isso não ajuda: arquivos da lista de email do tomcat-users

security ssl tomcat7

— Connor Relleen
fonte

1

Observe que a resposta real aqui dependerá da versão do Tomcat: o Tomcat 6 e o Tomcat 7 têm diretivas de configuração diferentes; e o Tomcat 6 adicionou algumas diretivas SSL específicas em torno de 6.0.32. As diretivas de configuração dependem se você estiver usando o JSSE nos conectores APR / Native. O suporte ao TLS especificado nos parâmetros dependerá da sua versão Java.

— Stefan Lasiewski

Consulte também ServerFault: serverfault.com/questions/637649/…

— Stefan Lasiewski

7

Adicione a sequência abaixo ao conector server.xml

sslEnabledProtocols="TLSv1, TLSv1.1, TLSv1.2"

e depois remova

sslProtocols="TLS"

verifique

http://poodlebleed.com/
https://www.ssllabs.com/ssltest/

— Connor Relleen
fonte

Isso não está funcionando para nós com o Tomcat6.

— 27413 Stefan Lasiewski #

Estas são as instruções do Tomcat 7. Para o 6, vá a esta página e procure por "TLS": tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html ou verifique a resposta de Marco Polo abaixo.

— GlenPeterson

1

Hmm, esse documento do Tomcat 6 diz que suporta sslEnabledProtocolse não há menção nessa página de sslProtocols. Isso é uma imprecisão nos documentos do Tomcat ou depende da JVM?

— Bradley #

O Bradley Tomcat 6 mudou essas diretivas em algum lugar após o Tomcat 6.0.36. Veja nossa resposta no ServerFault em serverfault.com/a/637666/36178

— Stefan Lasiewski

2

Usando

sslEnabledProtocols="TLSv1, TLSv1.1, TLSv1.2"

não funcionou para nós. Tivemos que usar

sslProtocols="TLSv1, TLSv1.1, TLSv1.2"

e deixado de fora por sslEnabledProtocolscompleto.

— Marco Polo
fonte

Qual versão do Tomcat?

— GlenPeterson

Testado e confirmado no tomcat 6.

— RobinCominotto 16/10

Isso é um erro de digitação? Você quis dizer sslProtocol(singular) em vez de sslProtocols(plural)? Os documentos do Tomcat dizem quesslProtocol não sslProtocols.

— 27413 Stefan Lasiewski

Bem, sslProtocolsfunciona para mim também no Tomcat 6. Acho estranho que a documentação apenas mencione sslProtocol(no s).

— Stefan Lasiewski

2

Todos os navegadores mais modernos de nota funcionam com pelo menos TLS1 . Não há mais protocolos SSL seguros, o que significa que não há mais acesso do IE6 a sites seguros.

Teste seu servidor para esta vulnerabilidade com o nmap em alguns segundos:

nmap --script ssl-cert,ssl-enum-ciphers -p 443 www.example.com

Se ssl-enum-ciphers listar uma seção "SSLv3:" ou qualquer outra seção SSL, seu servidor estará vulnerável.

Para corrigir esta vulnerabilidade em um servidor da Web Tomcat 7, no server.xmlconector, remova

sslProtocols="TLS"

(ou sslProtocol="SSL"similar) e substitua-o por:

sslEnabledProtocols="TLSv1, TLSv1.1, TLSv1.2"

Em seguida, reinicie o tomcat e teste novamente para verificar se o SSL não é mais aceito. Obrigado a Connor Relleen pela sslEnabledProtocolsstring correta .

— GlenPeterson
fonte

0

Para o Tomcat 6, além do acima, também tivemos que fazer o seguinte:

No server.xmlconector, adicione:

ciphers="TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA"

Fonte: https://forums.openclinica.com/discussion/15696/firefox-39-new-ssl-cipher-security-setting-error-tomcat-6-fix

— yoliho
fonte