问题标签 [poodle-attack]

因为 SSLv3 被发现容易受到 POODLE 攻击。

我正在使用Windows.Web.Http.HttpClient类与服务器通信，并希望从客户端请求中禁用安全协议 SSLv3。

在这里，我如何在 WinRT（Windows 应用商店应用程序）中使用 Tls12 而不是 SSLv3？

我知道在 .Net Framework 4.5 中设置安全协议版本的方法。如下定义。

是否提供任何 API 来配置 WinRT/Windows 应用商店应用程序中的安全协议？

为了减轻 Poodle 的影响，我们禁用了 SSLv3，但我们的一些客户仍在使用 SSLv3 进行出站连接，并且仅针对某些主机，我希望保持 SSLv3 启用并默认为其他主机禁用它。我可以根据主机有选择地应用不同的 SSLProtocol 吗？例如，如果主机是 A，则应启用 SSLv3，否则仅启用 TLS1.0+。这需要是运行时的。我们正在使用 Apache，如果我在 Location 指令中应用 SSLProtocol，则会出现 SSLprotocol 不能在此处的错误

我正在使用 openssl-0.9.8e-22.el5_11 运行 centos 5.7，它受到 poodle 漏洞的影响。因此，为了解决这个问题，我将我的 openssl 版本升级到了 openssl-0.9.8e-31.el5_11。

我已经确认通过使用更改日志可以在上述版本中修复贵宾犬漏洞。

但是，根据以下测试，我的系统仍然使用 SSLv3。

Nmap 完成：1.28 秒内扫描 1 个 IP 地址（1 个主机启动）

我在这里有点困惑。openssl-0.9.8e-31.el5_11 中是否修复了真正的贵宾犬漏洞。

对此的任何帮助将不胜感激。

我对 C# PayTrace 网关有疑问。下面的代码一直运行良好，直到昨天我相信他们由于 Poodle Exploit 而关闭了 SSL3。运行下面的代码时，我们收到以下消息。远程服务器已强制关闭连接。在对问题进行了一些研究后，我们确定因为我们的 IIS Server 7.5 配置为仍然使用 SSL3，所以 C# 默认为 SSL3，PayTrace 会强制关闭连接。然后我们从服务器中删除了 SSL3。然后导致以下错误：

客户端和服务器无法通信，因为它们没有共同的算法。

我的猜测是，既然 SSL 3 被删除，我们需要在服务器上安装额外的 SSL 算法。我们的 IT 人员声称 TLS 1.1 和 TLS 1.2 正在运行，并且 ASP.NET 现在应该默认使用这些。但我觉得我们还必须在服务器上安装其他东西，我不了解 SSL 算法，所以我不知道从哪里开始。

此外，仅供参考，当我们连接到 First Data E4 网关时也会发生此问题，因此这不仅仅是 PayTrace 的事情。我的猜测是，随着更多网关关闭对 SSL3 的访问，我们将继续遇到其他网关的问题，直到可以在服务器上解决此问题。另外，我确实在网上找到了一些建议，一些建议在发出出站请求之前放置以下代码：

不幸的是，这也不起作用，同样的错误。这就是为什么我认为需要在 IIS7.5 服务器上安装一些额外的东西。我只是不确定是什么。

在我的应用程序中，我正在使用 WCF 服务，这些服务使用 NetTcpBindings 并针对消息和传输安全进行了配置（保护级别设置为 EncryptAndSign）。这些服务在系统中作为 Windows 服务托管。

据我了解，客户端和我的服务之间的连接应该使用 SSL/TLS 保护吗？

如果是这种情况，您能否告诉我是否存在 POODLE 攻击的风险以及如何为 WCF 服务明确禁用 SSL 3.0？

所以这是一个相对较新的问题。

我的网站在 OPENSuse 10 Enterprise 上部署的 Apache2 服务器上运行。据我所知，有一个简单的命令行测试：

假设，如果这返回“SSL 例程：SSL3_READ_BYTES:sslv3 警报握手失败：”作为输出，除其他外，不支持 SSLv3，你很好。它确实如此。所以测试确认 - 我很好。

但问题是，SSLLabs 的人有他们自己的测试。这是一个链接：https ://www.ssllabs.com/ssltest/index.html 。该测试失败并说我实际上很容易受到攻击，因为我的服务器支持 SSLv3。

所以是的，两个测试，完全相反的结果。我信任哪一个？还有其他测试吗？有什么办法可以确定吗？

我继承了一个 Cast Iron 设备，该设备报告它是 5.0.1.5 版本 - 几年前并且不支持。

这主要用于与 Salesforce 交谈，后者刚刚向我们发送了一封电子邮件，称他们将在几周内关闭 SSL 3.0。贵宾犬。

谁能告诉我这个版本的 Cast Iron 是否支持 TLS 并且在 SFDC 禁用 SSL 3.0 时是否会继续工作？或者给我指出一些告诉我如何自己检查的东西？我在用谷歌画一个空白..

我通过我们的 apache 服务器的 ssl.conf 文件中的“SSLProtocol All -SSLv2 -SSLv3”为 apache 应用了 POODLE 修复，但是通过“SSLVerifyClient 要求”的 CAC 客户端身份验证存在问题。我已经确认如果我设置“SSLVerifyClient none”，我们的 Web 应用程序可以通过 https 访问并使用正确的 TLSv1 协议，但是一旦我设置了“SSLVerifyClient require”（这是必需的，因为我们的 Web 应用程序启用了 CAC）我得到一个页面不能在 IE 中显示（IE 禁用了 SSLv2 和 SSLv3）。我认为它正在 SSLVerifyClient 阶段重新协商到 SSLv3。任何人都知道如何在 Oracle HTTP Server (OHS) Apache 2.2.13 上解决这个问题？

这是我的 ssl.conf 文件的片段：

我在其他地方看到过有关修改注册表以使 IIS 禁用 SSLv3 的描述。但是，我不清楚这是否会影响到服务器的传入请求以及传出请求。我有使用 HttpWebRequest 连接到 Authorize.Net 的代码。如果我在注册表中禁用 SSLv3，要授权的 HttpWebRequests 是否会停止尝试使用 SSL 而只使用 TLS？或者，我需要更改我的代码吗？

我们在 Windows 平台上的应用程序中使用 JBoss 7.1。这个特定版本的 JBoss 是否容易受到 POODLE 的攻击？