apache - https : Apache TLS renegotiation: Debian, Apache2，openssl。如何？

Question

在现代浏览器上，我的网站被标记为有点不安全:

Google Chrome 例如在“页面信息”中显示“服务器不支持 TLS 重新协商扩展”。

虽然 HTTPS 运行良好，连接已加密且证书有效。

# openssl version
OpenSSL 0.9.8g 19 Oct 2007

# cat /etc/debian_version
5.0.6

# apache2ctl -V
Server version: Apache/2.2.9 (Debian)
Server built:   Apr 20 2010 21:44:40
Server's Module Magic Number: 20051115:15
Server loaded:  APR 1.2.12, APR-Util 1.2.12
Compiled using: APR 1.2.12, APR-Util 1.2.12
Architecture:   64-bit
Server MPM:     ITK
  threaded:     no
    forked:     yes (variable process count)
Server compiled with....
 -D APACHE_MPM_DIR="server/mpm/experimental/itk"
 -D APR_HAS_SENDFILE
 -D APR_HAS_MMAP
 -D APR_HAVE_IPV6 (IPv4-mapped addresses enabled)
 -D APR_USE_SYSVSEM_SERIALIZE
 -D APR_USE_PTHREAD_SERIALIZE
 -D SINGLE_LISTEN_UNSERIALIZED_ACCEPT
 -D APR_HAS_OTHER_CHILD
 -D AP_HAVE_RELIABLE_PIPED_LOGS
 -D DYNAMIC_MODULE_LIMIT=128
 -D HTTPD_ROOT=""
 -D SUEXEC_BIN="/usr/lib/apache2/suexec"
 -D DEFAULT_PIDLOG="/var/run/apache2.pid"
 -D DEFAULT_SCOREBOARD="logs/apache_runtime_status"
 -D DEFAULT_LOCKFILE="/var/run/apache2/accept.lock"
 -D DEFAULT_ERRORLOG="logs/error_log"
 -D AP_TYPES_CONFIG_FILE="/etc/apache2/mime.types"
 -D SERVER_CONFIG_FILE="/etc/apache2/apache2.conf"

我正在为我的 LAMP 设置使用 dotdeb 存储库，因此使用 Apache 2.2.9。

• 我的有什么问题吗服务器配置？

• 或者是有什么问题正在使用证书？

• 我应该从哪里开始追踪问题？

Answer 1

根据Debian changelog ，您使用的是 2010 年 4 月 20 日构建的 apache2 软件包版本 2.2.9-10+lenny8(可用于 Lenny 的最新版本)。版本 2.2.9-10+lenny6 引入了针对该问题的快速修复 (CVE-2009-3555):

Reject any client-initiated SSL/TLS renegotiations. This is a partial fix for the TLS renegotiation prefix injection attack (CVE-2009-3555). Any configuration which requires renegotiation for per-directory/location access control or uses "SSLVerifyClient optional" is still vulnerable.

因此，您应该在 Directory 或 Location 指令中禁用 SSLVerifyClient optional。

TLS 重新协商扩展 (RFC 5746) 更普遍地解决了 SSLVerifyClient optional 中的问题，已在 OpenSSL 版本 0.9.8m 和 1.0.0a 中实现，如果您想要使用它。

如果您没有在位置/目录指令中使用 SSLVerifyClient optional，您的配置似乎并不安全，它只是不支持允许您继续使用客户端的 TLS 扩展-基于每个目录/位置的证书身份验证。

Apache Httpd 2.2.15还介绍了SSLInsecureRenegotiation指令，如果你想强制不安全的行为(并使用 OpenSSL 0.9.8m 或更高版本)。