Tomcat APR 连接器和 POODLE

Question

我有几台运行 Tomcat 7.0 并带有 APR+SSL 连接器的生产服务器，由于最近的 POODLE 攻击，我被要求在其中一些服务器中完全禁用 SSLv3。我挖掘了 Tomcat Connectors文档并根据它，将 SSLProtocol 设置为 TLSv1(而不是 all 应该足以禁用 SSLv3 并强制执行 TLSv1。

问题是 TLSv1 似乎启用了 TLS，但不会使服务器拒绝 SSLv3。我使用 openssl s_client -connect -ssl3 对此进行了测试，并验证了仍然可以接受普通旧式 SSLv3 连接，所以我想知道这是否是 Tomcat 中的一个错误，或者我是否还有其他问题需要设置为完全禁用 SSLv3。

更新:我现在禁用了 APR 并恢复使用带有 sslProtocol="TLS" 的 NIO 连接器，并且工作正常。这个问题似乎特别影响 APR。作为引用，这是我的新连接器配置:

<Connector port="443" 
  protocol="org.apache.coyote.http11.Http11NioProtocol" 
  SSLEnabled="true"
  maxThreads="500" 
  scheme="https" 
  secure="true"
  clientAuth="false"
  keystoreFile="/etc/keys/***.ks"
  keystorePass="****"
  sslProtocol = "TLS"
  sslEnabledProtocols="TLSv1.1,TLSv1.2"
/>

Answer 1

似乎在使用带 TLS 的 APR 连接器时完全禁用 SSL 的能力仍在进行中。查看此链接以获取更多信息:https://issues.apache.org/bugzilla/show_bug.cgi?id=53952#c30 ，特别是评论 #37。

好消息是它会在 Tomcat 和 Tomcat Native 的下一个版本中得到修复。参见评论 #39:

Fixed in tcnative-trunk in r1632593 and tcnative-1.1.x in r1632595. 
Will be in tcnative 1.1.32.

和评论#40:

Fixed in Tomcat-trunk in r1632604. Will be in Tomcat 8.0.15.
Fixed in Tomcat 7 in r1632606. Will be in Tomcat 7.0.57.