stunnelでのPOODLE SSLからの保護

15

stunnelをHTTPSリバースプロキシとして使用する場合、POODLE SSLの脆弱性をどのように緩和できますか？

ssl openssl stunnel

— セルゲイ
ソース

19

stunnelでSSLv3プロトコルを完全に無効にできます。

スタンネルのドキュメントから：

sslVersion = SSL_VERSION

SSLプロトコルのバージョンを選択可能

オプション：all、SSLv2、SSLv3、TLSv1、TLSv1.1、TLSv1.2

これを設定ファイルに追加しました：

sslVersion = TLSv1 TLSv1.1 TLSv1.2

そして今、私は（を使用してopenssl s_client -connect my.domain.com:443 -ssl3）SSLv3で接続することはできません

注：一部の古いバージョンのstunnelおよびOpenSSLは、TLSv1.2（およびTLSv1.1）もサポートしていません。この場合、エラーsslVersionを避けるためにディレクティブから削除してincorrect version of ssl protocolください。

— セルゲイ
ソース

上記のsslVersion =を使用すると、次のエラーが表示されます。開始stunnel：ファイル/etc/stunnel/stunnel.conf行6：SSLプロトコルのバージョンが正しくありません。これは4.29です。このエラーが発生しないことを他の誰かが確認できますか？

— ロス14年

一部の古いバージョンのstunnelは、TLSv1.2またはTLSv1.1をサポートしていません。それらを削除してみて、TLSv1のみを残してください。これが古いインストールで機能することを確認しました。

— セルゲイ14年

10

古いスタネル（Debian Stableの4.53など）を使いたければ、次のコマンドでSSLv2とSSLv3を無効にできます：

sslVersion = all
options = NO_SSLv2
options = NO_SSLv3

の代わりに

sslVersion = TLSv1

TLSv1.1とTLSv1.2も無効になります。

— マティヤ・ナリス
ソース

1

これは、stunnel 4.53（Debian）と最新のOpenSSL（1.0.1e + Debianが提供するセキュリティパッチ）で機能します。TLSv1.2を使用して接続できます。わーい！

— クリストファーシュルツ

2

私はコメントできないので、「答える」（ごめん）。

とにかく、stunnel 5.01を実行していますが、sslVersionに変更を加えた後、「SSLのバージョンが正しくありません」というエラーも表示されます。

[!] Server is down
[.] Reading configuration from file stunnel.conf
[!] Line 4: "sslVersion = TLSv1 TLSv1.1 TLSv1.2": Incorrect version of SSL protocol

修正済み（私にとって）。stunnelをv5.06（今日の最新リリース）にアップグレードする必要がありました。Confファイルはまったく同じなので、v5.01とv5.06の間には、単なる人間の理解を超えたモジョが発生していると思います。

— 地域のニーズ
ソース