Кстати, Ivan Ristić из SSL Labs считает, что:

SSL 3 is dead, killed by the POODLE attack
https://community.qualys.com/blogs/securitylabs/2014/10/15/ssl-3-is-dead-killed-by-the-poodle-attack

И рекомендует всем системным администраторам:

[...] As a web site operator, you should disable SSL 3
on your servers as soon as possible. You need to do this
even if you support the most recent TLS version [...]

Кстати, на сайте nginx.com эта рекомендация уже выполнена:
https://www.ssllabs.com/ssltest/analyze.html?d=nginx.com

P.S.

Всеравно не понятно, почему нельзя в следующей версии
по умолчанию сделать ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

И в CHANGELOG написать о том, что протокол SSLv3 по умолчанию выключен.

"Администраторы всё-таки не дети", и читать CHANGELOG перед апгрейдом
они ведь умеют. Кому этот протокол действительно надо - включат обратно.

--
Best regards,
Gena

_______________________________________________
nginx-ru mailing list
nginx-ru@nginx.org
http://mailman.nginx.org/mailman/listinfo/nginx-ru