是否可以在旧 Apache 和 Debian 版本上运行 TLSv1.2

Question

经过一些非常广泛的搜索，我无法确定是否可以在以下配置上运行 TLSv1.2：

• Debian GNU/Linux 4.0（32 位）
• Apache/1.3.34 (Debian)
• OpenSSL 0.9.8zf

我们正在托管一个非常古老的应用程序，该应用程序具有至关重要的意义，该应用程序是多年前由不再在公司工作的员工设置的。所以，我们有点卡在目前的情况下。

如上所述，操作系统是 Debian GNU/Linux 4.0 和 apache 1.3.34。 openssl 版本是 0.9.8zf。我知道运行 TLSv1.2 至少需要 1.0.1 的 OpenSSL，我们可以安装它。但是apache已经很老了，它是用libssl.so.0.9.8编译的。

我们需要升级 apache 吗？如果是，所需的最低版本是多少（在此网上找不到答案）。我们可以用 openssl 1.0.1 编译 apache 1.3.34 吗？

我知道一切都已经很古老了，但目前我们不能只将应用程序迁移到更新的设置。如果可能的话，我们只需要一种方法以最少的更改运行 TLS1.2。

• openssl version - OpenSSL 0.9.8zf 2015 年 3 月 19 日
• apache -v - Apache/1.3.34 (Debian)
• cat /etc/issue - Debian GNU/Linux 4.0
• ldd mod_ssl.so - libssl.so.0.9.8

谢谢。

Answer 1

使用新的 Debian 版本和新的 mod_ssl 设置第二台计算机，复制应用程序并对其进行测试。这是最好的建议。

在不了解机器和应用的情况下，我可以告诉你，从 1.3.3x 升级到 2.2 应该没有问题。我记得大约 10 年前这样做，这根本不是问题。您可以分两步完成：首先更新到 1.3.42，然后更新到 2.2

但是，TLS 1.2 是 2008 年 8 月在 RFC 5246 中定义的。它比 Apache 1.3.42 早 2 年，但在 2012 年 3 月 14 日在 OpenSSl 版本 1.0.1 中实现。

您甚至可以在 Apache 1.3.34 中编译 Openssl 1.01，但 Apache 1.3.34 中还有许多其他未解决的漏洞，我认为这是一个非常糟糕的主意。