我应该在Tomcat中为Poodle(SSL3)漏洞删除哪些SSL密码
问题描述:
我需要将我的Tomcat的server.xml中的哪些密码删除才能安全抵抗Poodle漏洞?任何说SSL的东西?我应该在Tomcat中为Poodle(SSL3)漏洞删除哪些SSL密码
ciphers="
TLS_RSA_WITH_AES_256_CBC_SHA,
TLS_RSA_WITH_AES_128_CBC_SHA256,
TLS_DHE_RSA_WITH_AES_128_CBC_SHA256,
TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,
TLS_RSA_WITH_AES_128_CBC_SHA,
TLS_DHE_RSA_WITH_AES_128_CBC_SHA,
TLS_DHE_DSS_WITH_AES_128_CBC_SHA,
SSL_RSA_WITH_3DES_EDE_CBC_SHA,
SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA,
SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA"
答
Shellshock与TLS无关。 而对于POODLE,你不应该删除任何密码,但只是禁止协议版本SSL 3.0。
POODLE不是一个坏密码,它是一个不好的协议版本。你删除*不是一个*密码是安全的。您禁止与旧协议的连接:https://access.redhat.com/solutions/1232233 – zapl 2014-10-31 13:44:39