问题标签 [sslv3]

我的一个遗留 Ruby 应用程序仍然使用 Ruby 1.8.7。它在第三方 Web 服务上发出大量 HTTP 请求，其中一些通过 SSL。

由于 POODLE 漏洞，这些第三方服务正在放弃对 SSLv3 的支持，我想修补我的客户端以继续连接到它们。

Ruby 的标准库Net::HTTP似乎没有办法更改使用的 SSL 版本。

在 Ruby openssl( ssl-internal.rb ) 中有一种方法可以更改版本。可悲的是，Net::HTTP( https.rb ) 没有公开这一点。

我们（Ruby 1.8.7 的用户）搞砸了吗？

编辑：事实上，TLSv1如果服务器不支持，客户端似乎正在切换到SSLv3. 我在 Nginx 后面有一个不支持 SSLv3 的启用 SSL 的网站，并且我已经验证我的 1.8.7 客户端正在切换到 TLSv1 并且请求有效。如果您想自己验证，请看这里：https ://serverfault.com/questions/620123/how-can-i-let-nginx-log-the-used-ssl-tls-protocol-and-ciphersuite

我使用 Nginx 并添加了以下行： ssl_protocols TLSv1 TLSv1.1 TLSv1.2; 到我的服务器指令。它成功禁用了 SSLv3，但导致 Facebook 出现另一个问题。

Facebook 无法读取打开的图形标签，我收到错误消息：

有谁知道如何解决这个问题？

我最近在我的服务器上应用了 POODLE 漏洞的补丁并测试了它的漏洞，看起来还不错。但现在的问题是我有一个通过 HTTPS 进行通信的内部服务，并且该通信因以下错误而中断 -

这两个服务都部署在同一个 tomcat 服务器中——因此它是一个内部 Web 服务调用。

我怎样才能解决这个问题？

不确定是否有其他人遇到此问题，或者是否有人为我解答。

当在 server.xml 中禁用 SSLv3 时，连接到在 JRE 7 上运行的 Tomcat 服务器时，我的 JRE 7 小程序中断。

TLS 已启用，所有密码套件都经过精心挑选，以确保 UI 加载。在所有浏览器上都经过验证，网页运行良好。TLS 是在浏览器上强制执行的，甚至是从 Java 控制面板（在客户端），但是当 Applet UI 加载时，applet 失败并出现与SSL Handshake failure相关的错误。

javax.net.ssl.SSLHandshakeException：收到致命警报：handshake_failure

关于这里可能发生的事情有什么想法吗？

谢谢。一个太阳

我正在尝试将一个站点读入 BeautifulSoup，到目前为止，每次尝试都在我尝试打开安全连接时失败了（我最初尝试使用 Python 3 来解决这个问题，但正如您所看到的那样，这也充满了危险） . 这是我最新的涉及 urllib2 的尝试（我还没有找到 urllib3 示例，或者在将此代码更新为 urllib3 方面取得了很大成功）：

当我运行此代码时，我得到以下堆栈跟踪：

让事情变得更棘手的是我在 cURL URL 时看到的内容：

如果我强制使用 SSLv3，我会得到预期的输出：

如果我之前的尝试对这里的任何人有帮助，那么当我将 Requests 库与 Python 3 一起使用时，我的方法看起来像这样（遵循他们的文档，例如：特定 SSL 版本¶）

这产生了一个类似（但更神秘）的堆栈跟踪：

随着最近 POODLE ( CVE-2014-3566 ) 的披露，包括支付网关在内的许多服务器都在其服务器上禁用 SSLv3 并强制使用 TLS。

有谁知道 ASP.net 框架在内部使用哪种 SSL 协议来处理 WebRequest 之类的事情？如果它使用 SSLv3 并且不会自动回退到 TLS，有没有办法配置它？

注意：我们已经通过注册表禁用了 SSLv3，它似乎没有影响到我们网站的 HTTPS 流量。我只是不确定当支付网关将其关闭时会发生什么。

如何在 Openfire 中禁用 SSLv3 协议并使其仅使用 TLS？我正在使用 Openfire 3.8.2 版本。是否与 Jetty 相关的任何更改？

我正在尝试在 Tomcat 6.0.37 32 位上禁用 SSLv3。我可以使用 server.xml 中的这一行在 64 位版本上禁用它：

有没有办法在 32 位版本上做到这一点？

我已阅读并理解的是，当今大多数浏览器在建立安全连接时首先尝试 TLS，如果未建立连接，它们将回退到 SSL v3。

现在考虑以下场景：我通过 HTTPS 访问网站，该网站已停止支持 SSL v3。我的 mozilla 浏览器使用 TLS 的第一次安全连接尝试偶然失败，它退回到 ssl v3。该网站不支持 ssl v3，因此此尝试也失败了现在发生的情况：我的浏览器是否会给我错误提示无法连接，或者它会再次返回尝试 TLS 以建立连接。

所以这是一个相对较新的问题。

我的网站在 OPENSuse 10 Enterprise 上部署的 Apache2 服务器上运行。据我所知，有一个简单的命令行测试：

假设，如果这返回“SSL 例程：SSL3_READ_BYTES:sslv3 警报握手失败：”作为输出，除其他外，不支持 SSLv3，你很好。它确实如此。所以测试确认 - 我很好。

但问题是，SSLLabs 的人有他们自己的测试。这是一个链接：https ://www.ssllabs.com/ssltest/index.html 。该测试失败并说我实际上很容易受到攻击，因为我的服务器支持 SSLv3。

所以是的，两个测试，完全相反的结果。我信任哪一个？还有其他测试吗？有什么办法可以确定吗？