Apache - Inaktivera Osäkra SSL-versioner

SSL version 2 har inte använts som standard för många år, och brukar endast installeras för stöd av äldre produkter. Det kan också vara en betydande säkerhetsrisk, så vi rekommenderar starkt att stänga av den. Måna sidor använder dock fortfarande SSL version 3, men även denna har stora säkerhetsbrister. Även i RC4 finns säkerhitsbrister, så vi rekommenderar starkt att stänga av dom. Detta kan man göra så här:

1. Öppna ssl.conf (vanligtvis i /etc/httpd, den exakta platsen är beroende på ditt OS), ändra regler som följer, spara ändringarna och starta om Apache:

   SSLProtocol ALL -SSLv2 -SSLv3

   SSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUM

2. Det kan vara så att SSLProtocol ingår flera gånger i filen, justera dem alla.
3. Spara ändringarna och starta om Apache
4. Test med följande kommando (det ska visa ett felmeddelande om det lyckas):

   # openssl s_client -ssl2 -connect www.domän.se:443

5. SSLv3:

   # openssl s_client -ssl3 -connect www.domän.se:443

6. Kolla om dom fungerar fortfarande med TLSv1:

   # openssl s_client -tls1 -connect www.domän.se:443