如何在運行 Apache 2.4 的 Windows Server 上禁用 SSL - RC4 密碼

Question

我有一個在 Windows Server 上運行在 Apache 2.4 下的 PHP 應用程序。 業務安全問題之一是禁用 SSL - RC4 密碼支持。

我在 httpd.conf 中添加了這些行：

SSLProtocol all -SSLv2 -SSLv3
SSLHonorCipherOrder on
SSLCipherSuite "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA+RC4 EECDH EDH+aRSA RC4 !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !RC4"

但是這個問題還是不斷出現。

我需要在操作系統中做些什么來禁用這個密碼？

謝謝！

Answer 1

我們這樣做是為了在 Windows 上禁用 SSL3 和 RC4 過濾器。 將以下代碼另存為 DisableSSLv3AndRC4.reg 並雙擊它

 Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\SecurityProviders\\SCHANNEL\\Protocols\\SSL 3.0] [HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\SecurityProviders\\SCHANNEL\\Protocols\\SSL 3.0\\Client] "DisabledByDefault"=dword:00000001 [HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\SecurityProviders\\SCHANNEL\\Protocols\\SSL 3.0\\Server] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\SecurityProviders\\SCHANNEL\\Ciphers\\RC4 128/128] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\SecurityProviders\\SCHANNEL\\Ciphers\\RC4 40/128] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\SecurityProviders\\SCHANNEL\\Ciphers\\RC4 56/128] "Enabled"=dword:00000000

您可以在之后使用https://www.ssllabs.com/ 進行測試

Answer 2

您應該將 3 行與 ssl 特定配置鍵的其余部分一起放入<VirtualHost>部分，例如“SSLEngine”、SSLCertificateFile