LINUX.ORG.RU
Форум — Security  

centos 6, обновил OpenSSL до последней версии, ssllabs.com всеравно говорит, что уязвим

 , ,


1

3

Есть сервер под CentOS 6.5. Стоить связка Nginx + Apache. Проверил через http://www.ssllabs.com, показало что подвержен уязвимости OpenSSL CCS vulnerability (CVE-2014-0224). Установил из репозитория последнее обновление для OpenSSL, всеравно говорит что уязвим. Есть точно такойже сервер на этой же площадке, проверил на нем, уязвимости нет. Верстия пакета OpenSSL на обоих одинаковая:

Сервер №1
rpm -qi openssl
Name        : openssl                      Relocations: (not relocatable)
Version     : 1.0.1e                            Vendor: CentOS
Release     : 30.el6_6.5                    Build Date: Tue 20 Jan 2015 06:33:56 PM CET
Install Date: Fri 13 Mar 2015 07:27:33 PM CET      Build Host: c6b8.bsys.dev.centos.org
Group       : System Environment/Libraries   Source RPM: openssl-1.0.1e-30.el6_6.5.src.rpm
Size        : 4222195                          License: OpenSSL
Signature   : RSA/SHA1, Tue 20 Jan 2015 09:38:40 PM CET, Key ID 0946fca2c105b9de
Packager    : CentOS BuildSystem <http://bugs.centos.org>
URL         : http://www.openssl.org/
Summary     : A general purpose cryptography library with TLS implementation
Description :
The OpenSSL toolkit provides support for secure communications between
machines. OpenSSL includes a certificate management tool and shared
libraries which provide various cryptographic algorithms and
protocols.

Сервер №2
rpm -qi openssl
Name        : openssl                      Relocations: (not relocatable)
Version     : 1.0.1e                            Vendor: CentOS
Release     : 30.el6_6.5                    Build Date: Tue 20 Jan 2015 06:33:56 PM CET
Install Date: Tue 27 Jan 2015 09:20:46 AM CET      Build Host: c6b8.bsys.dev.centos.org
Group       : System Environment/Libraries   Source RPM: openssl-1.0.1e-30.el6_6.5.src.rpm
Size        : 4222195                          License: OpenSSL
Signature   : RSA/SHA1, Tue 20 Jan 2015 09:38:40 PM CET, Key ID 0946fca2c105b9de
Packager    : CentOS BuildSystem <http://bugs.centos.org>
URL         : http://www.openssl.org/
Summary     : A general purpose cryptography library with TLS implementation
Description :
The OpenSSL toolkit provides support for secure communications between
machines. OpenSSL includes a certificate management tool and shared
libraries which provide various cryptographic algorithms and
protocols.

Везде пишут, что в случаи уязвимости нужно обновить пакет openssl. Может я что-то упустил?

← Inotify
Wireshark не ловит wifi пакеты между другими устройствами →
Ответ на: комментарий от uspen

Не уверен, но мне кажется, что они каким-т другим методом проверяют наличие уязвимости. Стоит забить на показания теста?

alivecor
() автор топика

Перезапускал nginx после обновления?

Deleted
()
Ответ на: комментарий от Pinkbyte

Nginx перезапускал. В конфиге вроде все добавил: 

server {
        listen    80;
        listen 443 ssl;
        server_name  example.com;
        ssl_certificate     /etc/nginx/ssl/star_example.com.crt;
        ssl_certificate_key /etc/nginx/ssl/star_example.com.key;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS;
        ssl_prefer_server_ciphers On;
        access_log off;
        error_log  /var/log/nginx/avistatime.eu-error_log crit; 


        location ~* .(gif|jpg|jpeg|png|ico|wmv|3gp|avi|mpg|mpeg|mp4|flv|mp3|mid|js|css|html|htm|wml)$ {
                root /var/www/vhosts/default/htdocs;
                expires 365d;
        }

        location / {
                proxy_set_header   Host   $host;
                proxy_set_header   X-Real-IP  $remote_addr;
                proxy_set_header   X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header   X-Forwarded-Proto $scheme;

                client_max_body_size 64M;
                client_body_buffer_size 128k;

                proxy_send_timeout   90;
                proxy_read_timeout   90;
                proxy_buffer_size    128k;
                proxy_buffers     4 256k;
                proxy_busy_buffers_size 256k;
                proxy_temp_file_write_size 256k;
                proxy_connect_timeout 30s;

                proxy_pass_header Content-Type;
                proxy_pass_header Content-Disposition;
                proxy_pass_header Content-Length;
        }
}

alivecor
() автор топика
Ответ на: комментарий от alivecor

Я намекал про способ пооверки и, ответив на мой вопрос, ты б додумал.

У тебя же опач.

uspen ★★★★★
()
Ответ на: комментарий от alivecor

!aNULL:!MD5:!DSS

Почитай статью, которую я тебе кинул внимательнее. И добавь !RC4 и !EXPORT что-ли, правда тогда клиенты с IE на WinXP пойдут нафиг

Pinkbyte ★★★★★
()
Последнее исправление: Pinkbyte (всего исправлений: 1)

А адрес сервера + хостнейм можешь дать?

Vovka-Korovka ★★★★★
()
Ответ на: комментарий от Pinkbyte

Ну MD5 там зря банят - пока нет известных атак на MD5 в HMAC.

Vovka-Korovka ★★★★★
()
Ответ на: комментарий от Pinkbyte

И еще забыл, эта настройка к CSS Injection никакого отношения не имеет. Хоть AES256 один оставь, CSS от этого не пропадет.

Vovka-Korovka ★★★★★
()
Ответ на: комментарий от anonymous

Изменил строку в конфиге 

ssl_ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS;

на 

ssl_ciphers HIGH:!aNULL:!MD5;

Перезапустил, и заработало. ssllabs.com показывает рейтинг A. Спасибо большое всем за участие.

alivecor
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Inotify
Security
Wireshark не ловит wifi пакеты между другими устройствами →