Как да деактивирате остарели версии на SSL/TLS в Apache

От 30 юни 2018 г. за съвместимост с PCI, собствениците на сайтове трябва да откажат поддръжката на TLS 1.0. Протоколите TLS 1.0/1.1 и SSL 2.0/3.0 са остарели. Те не предоставят достатъчно защита за прехвърляне на данни. По-специално, TLS 1.0 е уязвим на конкретни атаки. Горните версии на протоколите трябва да бъдат премахнати от среди, които изискват по-високо ниво на защита.

Почти всички модерни браузъри поддържат TLS 1.2. По-долу ще разгледаме как да деактивирате версии на TLS 1.0/1.1 и SSL 2.0/3.0 в Apache.

1. Използвайте vi (или vim), за да редактирате ssl.conf (обикновено се намира в /etc/httpd/conf.d).

2. Потърсете раздела SSL Protocol Support (Поддръжка на SSL протокол):

# Поддръжка на SSL протокол:

# Извежда активираните нива на протокол, с които клиентите ще могат да

# се свързват.  Деактивиране на достъпа до SSLv2 по подразбиране:

SSLProtocol all -SSLv2 -SSLv3

3. Добавете коментар в реда SSLProtocol all (SSL протокол всички) – SSLv2 -SSLv3, като добавите хаштаг символ пред него.

4. Добавете един ред под него:

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1

5. Деактивирахме TLS 1.0/1.1 и SSL 2.0/3.0 и продължаваме да разглеждаме SSL Cipher Suite.

# SSL Cipher Suite:

# Извежда списък с шифрите, които клиентът има право да преговаря.

# Разгледайте документацията на mod_ssl documentation за пълен списък.

SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!IDEA

6. Добавете коментар в реда SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!IDEA и добавете следното под него:

SSLCipherSuite HIGH:!aNULL:!MD5:!3DES

Тази опция гарантира използването на SSL шифроване само с висока степен на защита.

Освен това добавете под SSLCipherSuite HIGH:!aNULL:!MD5:!3DES следния ред:

SSLHonorCipherOrder on

Този параметър гарантира, че ще бъдат използвани предпочитанията за шифроване на сървъра, а не клиентските предпочитания.

Запазете файла и рестартирайте Apache:

service httpd restart

След това тествайте всички приложения, които взаимодействат с вашия сървър. Ако изпитате някакви проблеми, можете да премахнете коментарите (хаштаг символ) и да се върнете на предишната версия на файла.

Следвайте най-добрите SSL практики с LeaderTelecom!