Bagaimana Memperbaiki Kerentanan DROWN di server Web Apache/NGINX dan SMTP?

Berikut kerentanan terbaru yang disebut DROWN (Decrypting RSA with Obsolete and Weakened eNcryption) yang bertujuan untuk menyerang server menggunakan protokol SSL versi 2.0 (SSLv2) yang lemah untuk HTTPs, SMTP, IMAP, POP dll…Pada dasarnya semua layanan yang menggunakan SSL/TLS tunduk pada rentan terhadap SSLv2 . DROWN memungkinkan penyerang untuk mendekripsi komunikasi (dengan mendapatkan kunci pribadi) yang dienkripsi menggunakan sertifikat SSL berbasis RSA, jika data handshake SSLv2 yang cukup dapat dikumpulkan. DROWN dapat secara langsung memengaruhi server yang menggunakan protokol SSLv2 yang lemah, namun, perlu kira-kira 1000 handshake SSL untuk dicegat.

Bagaimana cara menguji server Anda terhadap kerentanan DROWN?

Langsung buka tautan ini untuk menguji server Anda terhadap serangan kerentanan DROWN.

Berikut adalah antarmuka web, tempat Anda dapat mengetikkan alamat situs web Anda dan mengklik tombol “Periksa kerentanan TENGAH”.

Bagaimana Memperbaiki kerentanan DROWN di server web Apache dan Nginx?

Di Apache:

$ sudo vim /etc/httpd/conf/httpd.conf

(atau)

$ sudo vim /etc/httpd/conf.d/ssl.conf

dan tambahkan -SSLv2 dan -SSLv3 seperti yang ditunjukkan di bawah ini:

SSLProtocol semua -SSLv2 -SSLv3 

Catatan: Pengaturan di atas merekomendasikan untuk menonaktifkan SSLv2 dan SSLv3. Meskipun SSLv3 tidak rentan terhadap serangan DROWN, sangat disarankan untuk menonaktifkan SSLv3 karena rentan terhadap jenis serangan lainnya.

Mulai ulang server web:

$ sudo /etc/init.d/httpd restart

Di Nginx:

$ sudo vim /etc/nginx/nginx.conf

Cari baris di bawah ini:

ssl_protocols SSLv2 SSLv3 TLSv1 TLSv1.1 TLSv1.2;

dan hapus SSLv2 dan SSLv3 seperti yang ditunjukkan di bawah ini:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Mulai ulang layanan Nginx.

$ sudo vim /etc/postfix/master.cf

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3smtp_tls_mandatory_protocols=!SSLv2,!SSLv3smtpd_tls_protocols=!SSLv2,!SSLv3smtp_tls_protocols! 

 Catatan:Ingatlah untuk melakukan perubahan ini di setiap layanan yang menggunakan SSL.
 

 Perbarui juga OpenSSL ke versi terbaru:
 
# yum update openssl*