Verouderde versies van SSL/TLS in Apache uitschakelen

How to disable outdated versions of SSL TLS in Apache

Vanaf 30 juni 2018 moeten site-eigenaars voor PCI-compatibiliteit weigeren TLS 1.0 te ondersteunen. De protocollen TLS 1.0/1.1 en SSL 2.0/3.0 zijn verouderd. Ze bieden geen adequate bescherming voor de overdracht van gegevens. Met name TLS 1.0 is kwetsbaar voor bepaalde aanvallen. De bovenstaande versies van de protocollen moeten worden verwijderd in omgevingen die een hoog beveiligingsniveau vereisen.

Bijna alle moderne browsers ondersteunen TLS 1.2. Hieronder zullen we bekijken hoe u versies van TLS 1.0/1.1 en SSL 2.0/3.0 in Apache kunt uitschakelen.

1. Gebruik vi (of vim) om ssl.conf te bewerken (meestal te vinden in /etc/httpd/conf.d).

2. Zoek naar de SSL Protocol Support-sectie:

# SSL Protocol support:

# List the enable protocol levels with which clients will be able to

# connect. Disable SSLv2 access by default:

SSLProtocol all -SSLv2 -SSLv3

3. Maak van de regel SSLProtocol all -SSLv2 -SSLv3 commentaar door er een hash-teken voor te zetten.

4. Voeg onderaan een regel toe:

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1

5. Wij hebben TLS 1.0/1.1 en SSL 2.0/3.0 uitgeschakeld en doen verder onderzoek naar SSL Cipher Suite.

# SSL Cipher Suite:

# List the ciphers that the client is permitted to negotiate.

# See the mod_ssl documentation for a complete list.

SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!IDEA

6. Maak van de regel SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!IDEA commentaar en voeg er het volgende onderaan toe:

SSLCipherSuite HIGH:!aNULL:!MD5:!3DES

Deze optie garandeert het gebruik van alleen SSL-codering met een hoge mate van bescherming.

Voeg ook onder SSLCipherSuite HIGH:!aNULL:!MD5:!3DES de volgende regel toe:

SSLHonorCipherOrder on

Deze parameter zorgt ervoor dat de versleutelingsvoorkeuren van de server worden gebruikt, niet de voorkeuren van de client.

Sla het bestand op en start Apache opnieuw:

service httpd restart

Test vervolgens alle toepassingen die met uw server communiceren. Als u problemen ondervindt, kunt u het commentaar (hash-teken) verwijderen en terugkeren naar de vorige versie van het bestand.

Volg de beste SSL-praktijken met LeaderTelecom.