服务器 Gind.cn
  1. 服务器 Gind.cn
  3. 试图缓解Apache 2.2.16上的Logjam
Intereting Posts
解决scheme无线项目的平板电脑桌面？ iptables阻止端口80和443上的一些stream量，当它不应该？ GIT拉出时间？ 将KVM虚拟networking连接到互联网 在日志中奇怪的GET请求 从“窃取”端口80禁用TeamViewer？ 位置字段中的％LogonUser％不适用于驱动器映射的GPO zfs收到了什么？ 重启专用服务器后无法启动apache 如何将dd映像恢复到EBS卷 nagios：SMART磁盘检查的替代方法？ 错误在sql server中创build表上的索引，如何解决它？ 在Zabbix如何分离相同types的数据，但从不同的来源？ 旅客apache和nginx模块不能编译在Ubuntu的12.04LTS 阻止网站访问不通过预定的域名

试图缓解Apache 2.2.16上的Logjam

我试图按照位于这里的说明缓解logjam漏洞，但是我一直从appache得到以下错误： 

Syntax error on line 18 of /etc/apache2/sites-enabled/000-default: Invalid command 'SSLOpenSSLConfCmd', perhaps misspelled or defined by a module not included in the server configuration Action 'configtest' failed.

当我添加下面的行到configuration： 

 SSLOpenSSLConfCmd DHParameters /etc/ssl/certs/dhparams.pem

我的appache细节是： 

 Server version: Apache/2.2.16 (Debian) Server built: Oct 16 2014 10:27:58 Server's Module Magic Number: 20051115:24 Server loaded: APR 1.4.2, APR-Util 1.3.9 Compiled using: APR 1.4.2, APR-Util 1.3.9 Architecture: 32-bit Server MPM: Prefork threaded: no forked: yes (variable process count) Server compiled with.... -D APACHE_MPM_DIR="server/mpm/prefork" -D APR_HAS_SENDFILE -D APR_HAS_MMAP -D APR_HAVE_IPV6 (IPv4-mapped addresses enabled) -D APR_USE_SYSVSEM_SERIALIZE -D APR_USE_PTHREAD_SERIALIZE -D APR_HAS_OTHER_CHILD -D AP_HAVE_RELIABLE_PIPED_LOGS -D DYNAMIC_MODULE_LIMIT=128 -D HTTPD_ROOT="/etc/apache2" -D SUEXEC_BIN="/usr/lib/apache2/suexec" -D DEFAULT_PIDLOG="/var/run/apache2.pid" -D DEFAULT_SCOREBOARD="logs/apache_runtime_status" -D DEFAULT_LOCKFILE="/var/run/apache2/accept.lock" -D DEFAULT_ERRORLOG="logs/error_log" -D AP_TYPES_CONFIG_FILE="mime.types" -D SERVER_CONFIG_FILE="apache2.conf"

我一直在寻找，但无法find任何方法来解决这个问题。

从Apache文档中 ，在版本2.4.8中添加了SSLOpenSSLConfCmd选项：

兼容性：如果使用OpenSSL 1.0.2或更高版本，则可在httpd 2.4.8及更高版本中使用

如果您需要使用此选项，您将需要更新到更高版本的Apache。

也是apache 2.2.22（debian 7）我也一个一个去掉了有问题的密码，根据资料ssl实验室testinghttps://www.ssllabs.com/ssltest/index.html现在通过，只有WinXP / IE6是不相容

密码我结束了使用： 

 SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-DSS-AES128-SHA256:DHE-DSS-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA:!DHE-RSA-AES128-GCM-SHA256:!DHE-RSA-AES256-GCM-SHA384:!DHE-RSA-AES128-SHA256:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-SHA:!DHE-RSA-AES256-SHA256:!DHE-RSA-CAMELLIA128-SHA:!DHE-RSA-CAMELLIA256-SHA

这是基于https://weakdh.org/sysadmin.html的build议，但删除testing标记为有问题的dh-ciphers

“SSLOpenSSLConfCmd”configuration参数对Apache 2.2不起作用，它没有为此提供任何类似的configuration参数。 虽然有一个Apache 2.2的解决方法，直到有一个官方的补丁： https : //bitbucket.org/snippets/wneessen/grb8

我有Apache 2.2.22（Debian），现在使用以下CipherSuite，它适用于大多数现代浏览器，因为它省略了DH： 

 SSLCipherSuite ECDH+AESGCM:ECDH+AES256:ECDH+AES128:ECDH+3DES:RSA+AES:RSA+3DES:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!ADH:!AECDH:!MD5:!DSS:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

我避免了apachet 2.4服务器中的logjam，但使用openssl 1.0.1 

 SSLProtocol -all +TLSv1 +TLSv1 +TLSv1.1 +TLSv1.2 SSLCipherSuite ECDH+AESGCM:ECDH+AES256:ECDH+AES128:ECDH+3DES:RSA+AES:RSA+3DES:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!ADH:!AECDH:!MD5:!DSS:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

然后我创builddhparams 

 openssl dhparam -out dhparams.pem 2048 chmod 600 dhparams.pem

并添加到证书 

 cat /etc/ssl/certs/dhparams.pem >> /etc/ssl/certs/serverhttp.crt

重新加载Apache 

 apachectl -k graceful

并使用本网站的工具或使用nmap进行检查 

 nmap --script ssl-enum-ciphers -p 443 yourserver |grep weak

在Apache httpd 2.4.7和更早的版本上：

短期/匿名的DH（[EC] DHE，那些提供完美的前向保密的）将从标准化的DH素数（参数）自动计算出来，其尺寸基于服务器证书模数（即2048/3072/4096/6144/8192）如果证书是不推荐的，则仍然为1024）。

资源

基本上它说Apache <2.4.7将使用与证书模数长度相同长度的DH参数 ，虽然我有Apache＆mod_ssl 2.2.15和2048证书， testing表明它正在使用“Common 1024-bit Prime “对于DHE。

另一方面，Apache 2.2文档指出mod_ssl <2.2.30不能使用大于1024的密钥长度 ：

从版本2.2.30开始，mod_ssl将使用包含长度超过1024位的素数的DH参数

正在使用的CipherSuite如Mozillaconfiguration生成器所示 ： 

 ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

greenone83密码帮助了我！ 我从SSL Qualys Labs的B转到A. 

 SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-DSS-AES128-SHA256:DHE-DSS-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA:!DHE-RSA-AES128-GCM-SHA256:!DHE-RSA-AES256-GCM-SHA384:!DHE-RSA-AES128-SHA256:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-SHA:!DHE-RSA-AES256-SHA256:!DHE-RSA-CAMELLIA128-SHA:!DHE-RSA-CAMELLIA256-SHA