ssl - Apache SSL3_ACCEPT :unsafe legacy renegotiation disabled

Question

我们的一位客户提示他们无法访问我们的 ssl 网络服务器。我们使用的是 Ubuntu 12.04、Apache 2.2.22，我们的 OpenSSL 版本是 1.0.1。 Apache 错误日志是这样说的:

[error] [client xxx.xxx.xxx.xxx] Re-negotiation request failed
[error] SSL Library Error: 336068946 error:14080152:SSL routines:SSL3_ACCEPT:unsafe legacy renegotiation disabled

根据 Apache 访问日志，他们使用的是非常旧的浏览器。我读到添加“SSLVerifyClient optional”和“SSLInsecureRenegotiation on”选项将解决此问题。但是，Apache 错误日志仍然给我们这个错误。

<VirtualHost *:443>
   SSLEngine on
   SSLProtocol all -SSLv2
   ....
   ....
   SSLVerifyClient optional
   SSLInsecureRenegotiation on
</VirtualHost>

我们的虚拟主机配置有问题吗？由于我们的客户最终不会解决这个问题，除此之外我们还可以尝试其他方法吗？

Answer 1

将 SSLInsecureRenegotiation 设置为 on 应该有效，您确定您在正确的虚拟主机中吗？您可以使用 apache2ctl -S 查看所有当前配置的虚拟主机。

请注意，使用 SSLInsecureRenegotiation 会使您的所有客户容易受到 MITM 攻击。