So deaktivieren Sie SSL3 und schwache Chiffren mit cherrypy eingebauten SSL-Modul (Python 3)

Question

Ich habe Cherrypy 3.8.0 mit Python 3 für die Verwendung von SSL/TLS konfiguriert. Ich möchte jedoch SSL3 deaktivieren, um POODLE zu vermeiden. Ich habe die Dokumentation durchgesucht, bin mir aber nicht sicher, wie ich sie implementieren soll.

Ich bin mit dem cherrypy/Python ssl Modul eingebauten, nicht pyOpenSSL, die ich bin nicht in der Lage unter Python verwenden 3.

Answer 1

SSL3 zu deaktivieren, sollten Sie die ssl_context Variable selbst, anstatt die Standardeinstellung zu übernehmen. Hier ist ein Beispiel mit Pythons eingebautem ssl Modul (anstelle des eingebauten cherrypy SSL-Moduls).

import cherrypy 
import ssl 

ctx = ssl.SSLContext(ssl.PROTOCOL_SSLv23) 
ctx.options |= ssl.OP_NO_SSLv2 
ctx.options |= ssl.OP_NO_SSLv3 

cherrypy.config.update(server_config) 

, wo in diesem Fall aus dem SSLOpenSSL Modul ist.

Es ist erwähnenswert, dass in Python 3.2.3 das ssl Modul bestimmte schwache Ziffern standardmäßig deaktiviert.

Darüber hinaus können Sie gezielt alle Chiffren gesetzt Sie mit

wollen

ciphers = { 
    'DHE-RSA-AE256-SHA', 
    ... 
    'RC4-SHA' 
} 

ctx.set_ciphers(':'.join(ciphers)) 

Wenn Sie das CherryPyWSGIServer vom web.wsgiserver Modul verwenden, würden Sie die Standard-Verschlüsselungen mit

CherryPyWSGIServer.ssl_adapter.context.set_cipher_list(':'.join(ciphers)) 

Hier wird eingestellt ist Teil der Dokumentation, die das oben genannte detailliert: http://docs.cherrypy.org/en/latest/pkg/cherrypy.wsgiserver.html#module-cherrypy.wsgiserver.ssl_builtin

Schließlich, hier sind einige Quellen (fragen sim ilar Fragen), die Sie betrachten möchten:

• How to block SSL protocols in favor of TLS?
• https://review.cloudera.org/r/4739/diff/
• http://roadha.us/2014/10/disable-sslv3-avoid-poodle-attack-web-py/
• http://blog.gosquadron.com/use-tls
• http://www.experts-exchange.com/questions/28073251/Disable-weak-SSL-cipher-on-CherryPy-pyOpenSSL-Windows-2008-Server.html