我有一个在 RHEL4 上运行 Apache 2.0 的 Web 服务器。此服务器最近未通过 PCI 扫描。
原因：SSLv3.0/TLSv1.0 协议弱 CBC 模式漏洞 解决方案：这种攻击是在 2004 年和后来的 TLS 协议修订版中发现的，其中包含对此的修复。如果可能，请升级到 TLSv1.1 或 TLSv1.2。如果无法升级到 TLSv1.1 或 TLSv1.2，则禁用 CBC 模式密码将消除漏洞。在 Apache 中使用以下 SSL 配置可缓解此漏洞：SSLHonorCipherOrder On SSLCipherSuite RC4-SHA:HIGH:!ADH
简单的修复，我想。我将这些行添加到 Apache 配置中，但没有用。显然
，“SSLHonorCipherOrder On”仅适用于 Apache 2.2 及更高版本。我尝试升级 Apache，很快就遇到了依赖地狱，看来我必须升级整个操作系统才能升级到 Apache 2.2。我们将在几个月后淘汰该服务器，因此不值得。
该解决方案表示“如果无法升级到 TLSv1.1 或 TLSv1.2，则禁用 CBC 模式密码将消除漏洞。”
我将如何在 Apache 2.0 上执行此操作？这可能吗？如果没有，还有其他解决方法吗？
除了手动编译更新的 Apache 之外，我唯一能想到的就是让 RC4-SHA 成为唯一受支持的密码（
openssl ciphers RC4-SHA在当前的 openssl 上测试以确保它只打印一个密码，你可能想做同样的事情确保它与旧 openssl 上的一些奇怪的旧密码不匹配）：MS 说 Windows XP 支持TLS_RSA_WITH_RC4_128_SHA，所以你不应该有任何兼容性问题。
只有两种方法可以在服务器级别“修复”BEAST。
最好的选择是将服务器的 SSL 库升级到支持 TLS v1.1 或更高版本的库（并确保您的客户端也支持它，这样您就可以强制他们使用它）。
另一种选择是禁用任何 CBC（密码块链接）加密算法并切换到 en ECB（电子密码本）密码或类似 RC4 的东西（ECB 算法理论上“不太安全”，因为给定的明文输入加密到给定的密钥总是映射回相同的密文，这使得它更容易破解已知的明文攻击，但实际上这不太可能是一个大问题。谷歌（例如）仍然使用 RC4）。
由于您正在运行的服务器已死亡、被掩埋和分解，因此构建补丁 Apache 所需的工作量可能不值得（您将需要单独重建 Apache 和 OpenSSL，以免打乱任何东西）默认情况下需要在您的系统上安装 OpenSSL 的版本——如果您正在做那么多的工作，您也可以将整个系统升级到实际支持的版本），这样就几乎只剩下“切换到 ECB Cyphers”了您可行的解决方案。
如今，BEAST 确实是一种无足轻重的攻击——所有流行的浏览器（IE、Chrome、Safari、Opera）都实施了有效的解决方法，并且由于攻击的工作方式，很难在浏览器之外实施（所以
apt仍然yum非常安全）。来自 Google 的 Adam Langley 在今年早些时候发表了精彩的演讲，其中概述了您应该关注的一些痛点：SSL 和安全性——虽然 BEAST 获得了提及，但它在需要担心的事情列表中排在最后。
我发现唯一能让您通过 ssllabs.com 测试的解决方案是将以下四行添加到您的 apache httpd.conf 和 ssl.conf 文件中：
确保您没有在 ssl.conf 文件中两次发布任何这些设置。
现在我的网站通过了 A。