是否可以禁止在Google App Engine上使用SSL 3.0版?

时间:2014-11-10 05:19:03

标签: google-app-engine ssl

如果应用程序在SSL3.0中连接,我不想显示任何页面。 我学习英语和GAE。 如果英语很难理解,我很抱歉。

1 个答案:

答案 0 :(得分:2)

Google安全小组似乎已经采取了必要的措施。

根据他们的recent security bulletin

  

App Engine,云端存储,BigQuery和CloudSQL客户无需采取任何操作。 Google的服务器已更新,并受到保护,不受此漏洞的影响。 Compute Engine的客户需要更新他们的操作系统映像。

我不确定这意味着什么,但现在可能已禁用SSLv3后备连接。

<强>更新

好的,显然他们没有完全禁用SSLv3,但提供了更安全的后备。来自a blog post

  

禁用SSL 3.0支持或使用SSL 3.0的CBC模式密码足以缓解此问题,但即使在今天,也会出现严重的兼容性问题。因此我们建议的响应是支持TLS_FALLBACK_SCSV。这是一种解决重试失败连接所导致的问题的机制,从而防止攻击者诱使浏览器使用SSL 3.0。它还可以防止从TLS 1.2降级到1.1或1.0,因此可能有助于防止未来的攻击。<​​/ p>      

谷歌浏览器和我们的服务器自2月起支持TLS_FALLBACK_SCSV ,因此我们有充分的证据表明它可以在没有兼容性问题的情况下使用