【解決方案】服務器支持 TLS Client-initiated 重協商攻擊(CVE-2011-1473)

使用SSL開啓重協商的服務都會受該漏洞影響

 

Apache解決辦法：

   升級到Apache 2.2.15之後版本

 

IIS解決辦法：

    IIS 5.0啓用SSL服務時，也會受影響。能夠升級IIS 6.0到更高的版本。

 

Lighttpd解決辦法：

    建議升級到lighttpd 1.4.30或者更高,並設置ssl.disable-client-renegotiation = "enable"。 

    http://download.lighttpd.net/lighttpd/releases-1.4.x/

 

Nginx解決辦法：

    0.7.x升級到nginx 0.7.64

    0.8.x升級到 0.8.23 以及更高版本。

    http://nginx.org/en/download.html

 

Tomcat解決辦法：

 一、使用NIO connector代替BIO connector，由於NIO不支持重協商，參考以下配置：

<Connector protocol="org.apache.coyote.http11.Http11NioProtocol">

（可能會影響Tomcat性能）；

 二、配置Nginx反向代理，在Nginx中修復OpenSSL相關問題。

    參考連接:

    https://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html

    https://tomcat.apache.org/tomcat-7.0-doc/ssl-howto.html

    http://tomcat.apache.org/security-7.html#Not_a_vulnerability_in_Tomcat

    https://tomcat.apache.org/tomcat-6.0-doc/config/http.html#Connector_Comparison

 

Squid解決辦法:

    升級到3.5.24以及之後版本

    http://www.squid-cache.org/Versions/

 

其它服務解決方案請聯繫各應用廠商確認關閉重協商的方法。

舉例：ssl renegotiation disable