Я все еще использую Dovecot v1 (1.1.20) на сервере OSX. Пытаюсь отключить SSLv2. Похоже, что конфигурация по умолчанию уже отключила его:
ssl_cipher_list = ALL:!LOW:!SSLv2:!aNULL:!ADH:!eNULL
Но когда я тестирую свой веб-сервер с помощью ssllabs, он жалуется, что мой почтовый сервер (pop, imap) уязвим из-за использования SSLv2 (тот же ключ). Я также пробовал:
ssl_cipher_list = ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:!RC4+RSA:+HIGH:+MEDIUM:!SSLv2
Больше никакого успеха.
Я знаю, что этому серверу нужно серьезное обновление программного обеспечения.
SSLv2 - это протокола не шифр. «SSLv2» в списке шифров представляет несколько шифров, связанных с SSLv2, а не сам протокол.
В dovecot недокументированный параметр ssl_protocols используется для отключения определенных протоколов:
ssl_protocols = !SSLv2 !SSLv3
Это существует в Dovecot v2; но я не знаю, существует ли он в Dovecot v1.