ApacheでSSLv3が無効に出来ない

Question

Apache 2.4.20
Centos 7
Openssl 1.0.2h
php7．0.8

上記環境で構築しております。

Poodle対策で、SSLv3を無効化したいのですが、うまく行きません。
若干ミドルウェアのバージョンの異なる他のサーバではうまく行っているのですが、同様の設定を行ってもSSLv3で通信出来てしまいます。

$ echo "HEAD / HTTP/1.0" | openssl s_client -ssl3 -connect example.com:443
###中略###
verify return:1

ApacheのVirtualHost設定の中で、SSLProtocolの設定は行っています。

SSLProtocol -All +TLSv1 +TLSv1.1 +TLSv1.2
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-CAMELLIA128-SHA:DHE-RSA-AES128-SHA:AES128-GCM-SHA256:AES128-SHA256:CAMELLIA128-SHA:AES128-SHA:ECDH-ECDSA-AES128-GCM-SHA256:ECDH-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-CAMELLIA256-SHA:DHE-RSA-AES256-SHA:AES256-GCM-SHA384:AES256-SHA256:CAMELLIA256-SHA:AES256-SHA:ECDH-ECDSA-AES256-GCM-SHA384:ECDH-RSA-AES256-GCM-SHA384:!aNULL:!MD5:!RC4:!SSLv2:!LOW:!EXP

VirtualHostが複数あるため、全confファイルで同様の設定を行い、/conf.d/ssl.conf でも同様の設定を行っていますが、反映されない(というか、SSLv3で通信出来てしまう)状態です。

設定反映に際しては、gracefulやreloadを行い、restartしてみても変わらない状態です。

何か見落としがあるのでしょうか。。
この他に設定が必要なところ、或いは設定方法のミス等あればご指摘ください。

Answer 1

mod_sslを、動作しているサーバのモノに入れ替えたら動作しました。
OpensslもApacheもyumではなく手動でインストールした為、おかしな紐づきになってしまっていたのかもしれません。

Comments

[maisumakun]

OpenSSLはシステムの奥深くに絡む上に、アップデートしないとついていけなくなるということもあって、なかなかに扱いが面倒ですね。

[kunai]

インストールが成功したからと言って思った通りに動くわけではないというのが、インフラ系の専門家ではない私には盲点でした。。
今後同様の不具合に陥らないよう、PKI等含めた本格的なSSLの学習をしてみます。
ご助言ありがとうございました。

Answer 2

SSLProtocol -SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2としてみてはどうでしょうか。

allは+込のショートカット、とのことです。

This is a shortcut for +SSLv3 +TLSv1'' or - when using OpenSSL 1.0.1 and later - +SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2'', respectively

Comments

[kunai]

ありがとうございます。
残念ながら変化なし(疎通できる)です。
OpenSSL側に何か設定が必要だったりするのでしょうか。