Czytałem o ataku CRIME przeciwko kompresji TLS ( CVE-2012-4929 , CRIME jest następcą ataku BEAST przeciwko ssl i tls) i chcę chronić moje serwery internetowe przed tym atakiem poprzez wyłączenie kompresji SSL , która została dodana do Apache 2.2.22 (patrz Bug 53219 ).
Używam Scientific Linux 6.3, który jest dostarczany z httpd-2.2.15. Poprawki zabezpieczeń dla wcześniejszych wersji httpd 2.2 powinny zostać przeniesione do tej wersji.
# rpm -q httpd
httpd-2.2.15-15.sl6.1.x86_64
# httpd -V
Server version: Apache/2.2.15 (Unix)
Server built: Feb 14 2012 09:47:14
Server's Module Magic Number: 20051115:24
Server loaded: APR 1.3.9, APR-Util 1.3.9
Compiled using: APR 1.3.9, APR-Util 1.3.9
Próbowałem wyłączyć kompresję SSLC w mojej konfiguracji, ale powoduje to następujący komunikat o błędzie:
# /etc/init.d/httpd restart
Stopping httpd: [ OK ]
Starting httpd: Syntax error on line 147 of /etc/httpd/httpd.conf:
Invalid command 'SSLCompression', perhaps misspelled or defined by a module not included in the server configuration
[FAILED]
Czy w tej wersji serwera Apache Webserver można wyłączyć kompresję SSLC?
źródło