主页 / server / 问题 / 455450
Accepted
Stefan Lasiewski
Asked: 2012-12-06 13:00:57 +0800 CST

如何在 Apache httpd 2.2.15 上禁用 SSLCompression？（针对犯罪/野兽的防御）

  • 772

我了解了针对 TLS 压缩的CRIME攻击（CVE-2012-4929，CRIME 是针对 SSL 和 TLS 的 BEAST 攻击的继承者），我想通过禁用 SSL 压缩来保护我的网络服务器免受这种攻击，它已添加到 Apache 2.2.22（参见错误 53219）。

我正在运行 Scientific Linux 6.3，它随 httpd-2.2.15 一起提供。httpd 2.2 上游版本的安全修复应该被反向移植到这个版本。

# rpm -q httpd
httpd-2.2.15-15.sl6.1.x86_64

# httpd -V
Server version: Apache/2.2.15 (Unix)
Server built:   Feb 14 2012 09:47:14
Server's Module Magic Number: 20051115:24
Server loaded:  APR 1.3.9, APR-Util 1.3.9
Compiled using: APR 1.3.9, APR-Util 1.3.9

我尝试在我的配置中关闭 SSLCompression，但这导致了以下错误消息：

# /etc/init.d/httpd restart
Stopping httpd:                                            [  OK  ]
Starting httpd: Syntax error on line 147 of /etc/httpd/httpd.conf:
Invalid command 'SSLCompression', perhaps misspelled or defined by a module not included in the server configuration
                                                           [FAILED]

是否可以使用此版本的 Apache Webserver 禁用 SSLCompression？

apache-2.2

1 个回答

  1. Best Answer

    2013 年 3 月 4 日，Red Hat 提供了解决此问题的更新 OpenSSL 软件包。您可以通过正常的更新渠道接收它们。

    原来的回答是：

    Red Hat 没有提供提供此功能的更新包，但有一个可用的解决方法。编辑该/etc/sysconfig/httpd文件并将此行添加到其中：

    export OPENSSL_NO_DEFAULT_ZLIB=1

    然后重新启动 Apache：

    service httpd restart

    这将导致为 Apache 提供加密功能的 OpenSSL 不提供压缩。

    • 21

相关问题