如何在IBM Websphere 6中禁用SSL及其影響？

Question

考慮到POODLE攻擊，我想在部署於IBM WebSphere 6的Web應用程序中禁用SSLv3。我無法解決一些問題：
1.如何在WAS 6.0和6.1中禁用SSL並啟用TLS？
2.當客戶端在瀏覽器中單擊我的應用程序的URL，並且瀏覽器支持SSL時，將使用SSL發起請求。 由於WAS 6將禁用SSL，最終用戶是否有可能獲得握手異常？
3.是否需要更改應用程序配置或更改Web服務器屬性會有所幫助？

Answer 1

您無需在應用程序中進行任何更改。 已經為最新的WebSphere版本提供了修訂包-檢查頁面SSLv3中的漏洞影響IBM WebSphere Application Server

對於V6.1.0.0至6.1.0.47：

• Apply Interim Fix PI28796：將您升級到IBM Java SDK版本5.0 Service Refresh 16 Fix Pack 7 + APAR IV66111，以進行更改以默認禁用SSLv3。

6.0太舊了，我不記得它是否支持TLS。 您將必須在管理控制台中的SSL設置（確切路徑可能有所不同）中Security > SSL > SSL_configuration_name ，並將協議更改為TLS。

如果通過Web服務器（Apache或IHS）訪問WebSphere，則需要在Web服務器而不是應用程序服務器上禁用SSLv3。 有關詳細信息，請參閱SSLv3中的漏洞影響IBM HTTP Server。

將以下指令添加到httpd.conf文件中，以針對包含“ SSLEnable”的每個上下文禁用SSLv3和SSLv2：

＃為CVE-2014-3566禁用SSLv3
＃默認情況下，V8R0和更高版本以及典型的V7中禁用SSLv2
SSLv3密碼時隱式禁用＃和早期配置
＃配置了SSLCipherSpec。
SSLProtocol禁用SSLv3 SSLv2

停止並重新啟動IHS，以使更改生效。