So deaktivieren Sie veraltete Versionen von SSL/TLS in Apache
Ab dem 30. Juni 2018 sollten Website-Betreiber aus Gründen der PCI-Kompatibilität auf die Unterstützung von TLS 1.0 verzichten. Die Protokolle TLS 1.0/1.1 und SSL 2.0/3.0 sind veraltet. Sie bieten keinen ausreichenden Schutz für die Datenübermittlung. Vor allem TLS 1.0 ist anfällig für bestimmte Angriffe. Die oben genannten Versionen der Protokolle müssen in Umgebungen, die ein hohes Maß an Sicherheit erfordern, entfernt werden.
Fast alle modernen Browser unterstützen TLS 1.2. Im Folgenden wird erläutert, wie Sie die Versionen TLS 1.0/1.1 und SSL 2.0/3.0 in Apache deaktivieren können.
1. Verwenden Sie vi (oder vim), um ssl.conf zu bearbeiten (normalerweise unter /etc/httpd/conf.d).
2. Suchen Sie den Abschnitt „SSL Protocol Support“ (SSL-Protokollunterstützung):
# SSL Protocol support:
# List the enable protocol levels with which clients will be able to
# connect. Disable SSLv2 access by default:
SSLProtocol all -SSLv2 -SSLv3
3. Kommentieren Sie die Zeile SSLProtocol all -SSLv2 -SSLv3, indem Sie ihr ein Raute-Symbol voranstellen.
4. Fügen Sie eine Zeile darunter ein:
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
5. Wir haben TLS 1.0/1.1 und SSL 2.0/3.0 deaktiviert und sind dabei, die SSL-Verschlüsselungssammlung weiter zu untersuchen.
# SSL Cipher Suite:
# List the ciphers that the client is permitted to negotiate.
# See the mod_ssl documentation for a complete list.
SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!IDEA
6. Kommentieren Sie die Zeile SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!IDEA und fügen Sie Folgendes darunter ein:
SSLCipherSuite HIGH:!aNULL:!MD5:!3DES
Diese Option gewährleistet die Verwendung von SSL-Verschlüsselung nur mit einem hohen Maß an Schutz.
Fügen Sie außerdem unter SSLCipherSuite HIGH:!aNULL:!MD5:!3DES die Zeile ein:
SSLHonorCipherOrder on
Dieser Parameter stellt sicher, dass die Verschlüsselungseinstellungen des Servers und nicht die des Clients verwendet werden.
Speichern Sie die Datei und starten Sie Apache neu:
service httpd restart
Testen Sie anschließend alle Anwendungen, die mit Ihrem Server interagieren. Wenn Sie Probleme haben, können Sie die Kommentare (Rautenzeichen) entfernen und zur vorherigen Version der Datei zurückkehren.
Profitieren Sie von den besten SSL-Praktiken mit LeaderTelecom!
