在启用了 SNI 的 nginx 服务器上， SSL 的安全性取决于最低的配置，如何解决？

This topic created in 4303 days ago, the information mentioned may be changed or developed.

RT，比如在同一个 nginx 上有别人部署了支持 SSLv3 的网站（POODLE vulnerable），这样即便自己的网站的配置禁用了 SSLv3 可在 handshake 的时候浏览器还是可以以 SSLv3 连上去。

有解决办法吗？

8 replies • 2015-01-25 15:08:18 +08:00

sNullp

Jan 25, 2015

能让 nginx 在发现使用的 cipher 不是目前 server 允许的后断开连接吗？

sNullp

Jan 25, 2015

hmmm，我也搞不清楚这是个 bug 还是个 feature 了。
SSL的配置确实是 per host 的，而不是 per virtual host。。。

sanddudu

Jan 25, 2015

是 per virtual host ，不过得手动指定接受的协议

sNullp

Jan 25, 2015 via iPhone

@sanddudu 不，手动制定了无效。nginx会选取最松的directive。

futursolo

Jan 25, 2015

在服务器上对每个连入的SSL链接搞POODLE攻击，能成功就reset。

sNullp

Jan 25, 2015

@futursolo 这个有点本末倒置。。因为只有TLS一下的协议会受poodle攻击，我就想只enable tls v1,1.1,1.2

futursolo

Jan 25, 2015

@sNullp
这个问题的前提是，你有没有修改每个虚拟主机配置文件的权力，如果能，那么Block了SSLv2和v3就行，如果不能，就要对连接进行检查。

sNullp

Jan 25, 2015

@futursolo 没有。检查连接的权力更没有。
我能修改的只有自己虚拟主机的配置文件。我只想要很直观的 per virtual host 的配置，可惜做不到。我觉得这是个bug。