Ny attack mot SSL/TLS: Poodle

Ingen pudel tackNågra forskare vid Google upptäckte nyligen en ny attack mot SSL/TLS. Denna attack är tvådelad och går dels ut på att nyttja en sårbarhet i SSL 3.0 men även att forcera en nedgraderingsattack mot TLS.

Vi rekommenderar därför att SSL 3.0 helt stängs av Er webbserver eller mailserver.

När ni genomfört ändringarna så rekommenderar vi att testa sajten med SSLlabs.com.

Du kan läsa mer om Poodle på kryptera.se.

Nginx

Ändra filen /etc/nginx/nginx.conf och lägg till raden:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Starta sedan om Nginx.

Apache

Om mod_ssl används så ändrar du i filen /etc/apache2/mods-available/ssl.conf där du hittar direktivet för SSLProtocol och lägger till följande:

SSLProtocol all -SSLv3 -SSLv2

Starta sedan om Apache.