Inaktivera osäkra SSL-versioner

De krypteringsprotokoller Secure Sockets Layer (SSL) och dess efterföljare Transport Layer Security (TLS) säkrar kommunikation på Internet. Eftersom inte alla webbläsare stöder TLS-protokoll är ofta tillåtet att använda äldre protokoll. Till exempel har Internet Explorer 6 inte stöder TLS. SSL version 1 och 2, SSL v2 och SSL v3 är nu osäkra. Stäng därför av SSL v2 och SSL v3 i serverkonfigurationen så att endast de nyare TLS-protokoll kan användas.

SSLv2

SSL version 2 har inte varit standard sedan 1995. Även om det stöds av ett antal äldre produkter, har det oftast redan avaktiverats. SSL. Om SSL v2 forfarande används, rekommenderar vi att ersätta den med en nyare säkerhetsprotokoll, eftersom SSLv2 har några allvarliga brister.

De främsta orsakerna till osäkerheten av SSL v2 är:

• Algoritmen som används är för svag: SSL v2 meddelandeautenticering används MD5, som är lätt att knäcka.
• Handskakningen inte är skyddad, så det finns inget skydd mot en så kallad 'man-in-the-middle' attack.
• Den använder samma nyckel för både autentisering och kryptering.
• Det finns inget skydd mot oavsiktlig stängning av TCP-anslutningar av en tredje part (på grund av kommandot TCP FIN).

SSLv3

I krypteringsprotokoll SSL v3 upptäcktes en läcka 2014, även kallad POODLE bug. Även om den här versionen är mer än 15 år gammal, stöds protokollet fortfarande av många webbläsare och servrar. Sårbarheten gör det möjligt för hackare att fånga upp och läsa trafik. För att förhindra detta kan du inaktivera användningen av SSL 3.0 på din server och din webbläsare.