我容易受POODLE/SSLv3啓用測試

Question

所以這是一個相對較新的問題。

我的網站在部署在OPENSuse 10 Enterprise上的Apache2服務器上運行。至於我讀過有一個簡單的命令行測試：

openssl s_client -connect mysite.com:443 -ssl3 

據稱，如果返回「SSL例程：SSL3_READ_BYTES：SSLV3警報握手失敗：」作爲輸出，除其他事項外，不支持的SSLv3你完全沒問題。它確實如此。所以測試肯定 - 我很好。

雖然SSLLabs的人有他們自己的測試，但問題仍然存在。這裏有一個鏈接：https://www.ssllabs.com/ssltest/index.html。這個測試失敗了，並且說我實際上很脆弱，因爲我的服務器支持SSLv3。

所以，是的，兩個測試，完全相反的結果。我信任哪一個？還有其他測試嗎？有什麼方法可以肯定嗎？

Answer 1

我不會依賴簡單的運行測試，學習如何編寫SSL配置並實現一個安全的配置，這包括確保在服務器配置級別禁用SSL3。 Cipherli.st有一個很好的預製SSL配置清單，這是安全的，

Answer 2

你真的有OPENSuse 10企業嗎？舊版本是否仍有可用的安全更新？考慮升級你的操作系統！

測試只能檢測到它正在尋找的安全漏洞。所以當你從測試中得到警告時，你應該感到煩惱和行爲。如果沒有警告，測試可能只是忽略了一個安全漏洞。 SSLLabs的測試是一個很好的測試套件。