resin - 如何在 Resin 上禁用 SSL 压缩？

Question

由于 CRIME 漏洞https://isecpartners.com/blog/2012/september/details-on-the-crime-attack.aspx ，我正在尝试在我的 Resin 4.0.35 pro 服务器上禁用 SSL 压缩，但我是只是不知道该怎么做，我在 xml 配置上看不到任何可以关闭它的选项。

我正在使用带有 Resin 的 OpenSSL。

谢谢。

Answer 1

尝试在 openssl 标签内设置压缩属性。

  <openssl>
    <certificate-file>...</certificate-file>
    <certificate-key-file>...</certificate-key-file>
    <password>...</password>
    <compression>false</compression>
  </openssl>

可接受的值为“真”和“假”

'compression' 属性是在 4.0.37 中引入的。（见http://bugs.caucho.com/view.php?id=5435）