নির্দিষ্ট এনক্রিপশন কৌশল (সিবিসি ব্লক সিফারস) এর সাথে মিলিয়ে SSLv3.0 / TLSv1.0 এর ব্যবহার কোনও আক্রমণকারীকে পরবর্তী এসএসএল প্যাকেটের তথাকথিত ইনিশিয়েশন ভেক্টরটির পূর্বাভাস দিতে পারে। আক্রমণকারী এই তথ্যটি ব্যবহার করে অন্য ব্যবহারকারীর সুরক্ষিত সেশনে অ্যাক্সেস করতে পারে। বেস্ট (এসএসএল / টিএলএসের বিরুদ্ধে ব্রাউজার এক্সপ্লিট) নামের এই আক্রমণটি ওয়েব সার্ভারে নয় বরং ব্যবহারকারীর ব্রাউজারকে লক্ষ্য করে। তবুও, একটি সফল আক্রমণ প্রতিরোধ করার জন্য সার্ভার সাইডে পাল্টা ব্যবস্থা নেওয়া সম্ভব।
SSLv3.0 / TLSv1.0 ব্যবহার করার সময় এই সমস্যার সম্পূর্ণ সমাধানটি দুর্বল এনক্রিপশন সাইফারগুলি (সিবিসি ব্লক সাইফারস) সমর্থন নিষ্ক্রিয় করা বা বঞ্চিত করা। সাধারণত, সাইফার আলোচনার প্রক্রিয়াতে আরসি 4 সাইফারকে অগ্রাধিকার দিয়ে এটি অর্জন করা যায়।
SSLv3.0 / TLSv1.0 সমর্থন করে এমন অ্যাপাচি ওয়েব সার্ভারগুলির জন্য নিম্নলিখিত কনফিগারেশন যুক্ত করে এটি কনফিগার করা যেতে পারে:
SSLProtocol All –SSlv2
SSLHonorCipherOrder On
SSLCipherSuite RC4-SHA:HIGH:!ADH
SSLv3.1 / TLSv1.1 এবং উচ্চতর সমর্থন করে এমন অ্যাপাচি ওয়েব সার্ভারগুলির জন্য, নিম্নলিখিত কনফিগারেশনটি ব্যবহার করার পরামর্শ দেওয়া হচ্ছে:
SSLProtocol All –SSlv2
SSLHonorCipherOrder On
SSLCipherSuite ECDHE-RSA-AES256-SHA384:AES256-SHA256:RC4:HIGH:!MD5:!aNULL:!EDH:!AESGCM
যতদূর আমি জানি, জেবিস 7 অ্যাপাচি-র একটি সংস্করণ ভিত্তিক যা SSLv3.1 / TLSv1.1 সমর্থন করে (সম্ভবত আমি ভুল), সুতরাং দ্বিতীয় বিকল্পটি JBoss 7 এ প্রয়োগ করা যেতে পারে।
আমার প্রশ্নটি হল: আমি এটি কোথায় / কীভাবে কনফিগার করব?