Google发布SSLv3漏洞简要分析报告

　　今天上午，Google发布了一份关于SSLv3漏洞的简要分析报告。根据Google的说法，该漏洞贯穿于所有的SSLv3版本中，利用该漏洞，黑客可以通过中间人攻击等类似的方式(只要劫持到的数据加密两端均使用SSL3.0)，便可以成功获取到传输数据(例如cookies)。截止到发文前，还没有任何补丁放出来。

　　对此Google表示，他们只能给出一个无奈的建议：关闭客户端SSLv3支持或者服务器SSLv3支持或者两者全部关闭。

　　另外，Google已经明确表态将在接下来的数月中，逐步从其服务中撤销掉SSLv3的支持。

　　FreeBuf修复建议：

　　Nginx：

　　ssl_protocols TLSv1 TLSv1.1 TLSv1.2；

　　ssl_prefer_server_ciphers on；

　　ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384：ECDHE-RSA-AES128-GCM-SHA256：ECDHE-RSA-AES256-SHA384：ECDHE-RSA-AES128-SHA256：ECDHE-RSA-RC4-SHA：ECDHE-RSA-AES256-SHA：DHE-RSA-AES256-SHA：DHE-RSA-AES128-SHA：RC4-SHA：！aNULL：！eNULL：！EXPORT：！DES：！3DES：！MD5：！DSS：！PKS；

　　ssl_session_timeout 5m；

　　ssl_session_cache builtin：1000 shared：SSL：10m；Apache：

　　SSLProtocol all -SSLv2 -SSLv3

　　SSLHonorCipherOrder on

　　SSLCipherSuite ECDHE-RSA-AES256-GCM-SHA384：ECDHE-RSA-AES128-GCM-SHA256：ECDHE-RSA-AES256-SHA384：ECDHE-RSA-AES128-SHA256：ECDHE-RSA-RC4-SHA：ECDHE-RSA-AES256-SHA：DHE-RSA-AES256-SHA：DHE-RSA-AES128-SHA：RC4-SHA：！aNULL：！MD5：！DSS报告原文地址