Apache-2.2

在 Apache 2.2.x 中禁用 SSL / TLS 壓縮

  • March 8, 2013

使用 mod_ssl 時,有沒有辦法在 Apache 2.2.x 中禁用 SSL/TLS 壓縮?

如果不是,人們正在做些什麼來減輕舊瀏覽器中 CRIME/BEAST 的影響?

相關連結:

  1. https://issues.apache.org/bugzilla/show_bug.cgi?id=53219
  2. https://threatpost.com/en_us/blogs/new-attack-uses-ssltls-information-leak-hijack-https-sessions-090512
  3. https://security.stackexchange.com/questions/19911/crime-how-to-beat-the-beast-successor

SSLCompression off如果您使用的是 2.2.24 或更高版本,則可以使用。

如果沒有,您可以設置OPENSSL_NO_DEFAULT_ZLIB環境變數以在 OpenSSL 中強制關閉壓縮 - 請參閱此問題

引用自:https://serverfault.com/questions/456592