Wyłączamy SSL… ostatecznie

Bez żalu, żegnamy się z SSL. Ostatnie dziury z Poodle na czele dobiły ten stary protokół.

Wyłączenie w Apache

Zależnie od wersji, w starszych wystarczy zmienić wartość parametru SSL,na następujące:

 SSLProtocol all -SSLv3 -SSLv2

W nowszych:

 SSLProtocol TLSv1

Na koniec restart Apache

Wyłączenie w IIS

Tu trzeba wprowadzić zmiany w rejestrze.

1. Otwieramy edytor rejestru:

   Regedit

2. Rozwijamy drzewo kluczy do pozycji:

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols

3. Dodajemy nowy klucz: SSL 3.0
4. W nowo założonym SSL 3.0 dodajemy kolejny klucz o nazwie Client. Powinna nam powstać następująca ścieżka:

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols\SSL 3.0\Client

5. Dodajemy parametr typu DWORD o nazwie DisabledByDefault i wartości 1.
6. W kluczu SSL 3.0 dodajemy kolejny klucz Server. Powinna nam powstać następująca ścieżka:

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols\SSL 3.0\Server

7. W kluczu Server dodajemy parametr typu DWORD o nazwie Enabled i wartości 0.
8. Na koniec restartujemy serwer.