Lighttpd：仅启用 SSLv3，但使用 TLSv1.2

Question

我有一个 Lighttpd-1.4.33 安装并且必须证明使用 SSL 和 TLS。因此，我使用了 ssl.use-sslv3 和 ssl.cipher-suite 参数。
请看我的 lighttpd.conf：

$SERVER["socket"] == ":443" {
server.document-root = "/var/www/"
server.protocol-http11 = "enable"
ssl.engine = "enable"
ssl.pemfile = "/etc/lighttpd/servercert.pem"
ssl.ca-file = "/etc/lighttpd/cacert.pem"
ssl.use-sslv3 = "enable"
}

当我发出请求时，它会给我一个 TLSv1.2 连接。
现在， ssl.use-sslv3 替换为以下内容：

ssl.cipher-list = "NULL-MD5:NULL-SHA:EXP-RC4-MD5:RC4-MD5:RC4-SHA:DES-CBC3-SHA:AES128-SHA:AES256-SHA:EXP1024-RC4-SHA"
ssl.honor-cipher-order = "enable"

还给了我一个 TLSv1.2 连接。

所以，我的问题是：
TLSv1.2 “包含” SSLv3 中使用的所有密码并因此使用它而不是 SSLv3 是否正确？
如果以这种方式配置，是否有机会强制 Lighttpd 拒绝 TLSv1.2 连接而不是 SSLv3？

我必须能够强制 Lighttpd 仅使用 SSLv3 或 TLSv1.0。
谢谢你的帮助。

密码列表来自http://www.openssl.org/docs/apps/ciphers.html#tls_v1_0_cipher_suites_

Answer 1

密码套件通常不定义协议版本，即您不能通过启用或禁用密码套件来启用或禁用协议版本。如果服务器配置允许，您需要明确指定启用的 SSL/TLS 协议版本。

更新：查看http://redmine.lighttpd.net/projects/1/wiki/docs_ssl 似乎 use-sslv3 参数也启用了所有 TLS 版本。

forum on Lighttpd.net 建议虽然 [尚未] 设置来控制要使用的 TLS 版本，但您只能启用 TLS-1.2 特定的密码套件，从而强制 TLS 1.2（对于 TLS 1.1/1.2 组合相同，我认为）。我没有查看源代码，所以我不能说它是如何工作的（如果它确实有效的话）。

还有here，他们建议将 ssl.use-sslv3 参数设置为“禁用”，以禁用 SSL 3 并启用 TLS。