Vejledning til deaktivering af usikre SSL versioner i Apache.

SSL version 2 anvendes ikke længere som standard og installeres typisk kun for at støtte ældre produkter. Det kan dog også udgøre en betydelig sikkerhedsrisiko. Mange websteder bruger stadig SSL version 3, men selv i denne version er der for nylig opdaget en alvorlig lækage. Svagheder er også blevet fundet på RC4. Så vi anbefaler, at du slå det fra. Dette kan gøres i Apache som følger:

1. Åben ssl.conf (filen kan som regel findes i /etc/httpd; den nøjagtige placering afhænger af operativsystemet). Tilpas linjerne som nedenfor:

   SSLProtocol ALL -SSLv2 -SSLv3

   SSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:!RC4+RSA:+HIGH:+MEDIUM

2. Gem dine ændringer og genstart Apache
3. Test med følgende kommando, om SSLv2 er slået fra (hvis det virkede, vil du få en fejlmeddelelse)
   

   # openssl s_client -ssl2 -connect virtualhost:443

4. Test også SSLv3:
   

   # openssl s_client -ssl3 -connect virtualhost:443

5. Sikre dig at webstederne stadig kan tilgås med TLSv1:
   

   # openssl s_client -tls1 -connect virtualhost:443



Du kan også bruge SSLCheck til at kontrollere, om et websted er tilgængeligt via SSLv2 eller SSLv3.