SSL 3 is dead, killed by the POODLE attack

[Илья Шипицин]

исходя из "Администраторы все-таки не дети", кажется, что нет разницы,
включать по умолчанию SSLv3 или выключать.

17 октября 2014 г., 18:18 пользователь Gena Makhomed <gmm at csdoc.com> написал:
>
> Кстати, Ivan Ristić из SSL Labs считает, что:
>
> SSL 3 is dead, killed by the POODLE attack
> https://community.qualys.com/blogs/securitylabs/2014/10/15/ssl-3-is-dead-killed-by-the-poodle-attack
>
> И рекомендует всем системным администраторам:
>
> [...] As a web site operator, you should disable SSL 3
> on your servers as soon as possible. You need to do this
> even if you support the most recent TLS version [...]
>
> Кстати, на сайте nginx.com эта рекомендация уже выполнена:
> https://www.ssllabs.com/ssltest/analyze.html?d=nginx.com
>
> P.S.
>
> Всеравно не понятно, почему нельзя в следующей версии
> по умолчанию сделать ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
>
> И в CHANGELOG написать о том, что протокол SSLv3 по умолчанию выключен.
>
> "Администраторы всё-таки не дети", и читать CHANGELOG перед апгрейдом
> они ведь умеют. Кому этот протокол действительно надо - включат обратно.
>
> --
> Best regards,
>  Gena
>
> _______________________________________________
> nginx-ru mailing list
> nginx-ru at nginx.org
> http://mailman.nginx.org/mailman/listinfo/nginx-ru