通過POODLE SSL漏洞保護Thrift服務器

Question

為了保護Thrift服務器免受最近發現的SSLv3漏洞的侵害 ，我明確說明了應為服務器套接字啟用哪些協議：

TServerSocket socket = TSSLTransportFactory.getServerSocket(...);
SSLServerSocket sslServerSocket = (SSLServerSocket) socket.getServerSocket;
sslServerSocket.setEnabledProtocols(new String[] {"TLSv1.1", "TLSv1.2"});

但是，即使使用TestSSLServer進行的檢查僅列出了TLSv1.1和TLSv1.2，我仍然能夠使用SSLv3與OpenSSL連接：

openssl s_client -connect localhost:1111 -ssl3

我如何在Thrift上完全禁用SSLv3，以使其在SSL握手期間已經失敗？

Answer 1

看來我誤解了openssl客戶端輸出。 即使第一行上有CONNECTED(00000003) ， CONNECTED(00000003)出現錯誤消息：

140535757866656:error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number:s3_pkt.c:337:

因此，無法連接到服務器。 問題中顯示的代碼段工作正常。