使用Apache增强OpenSSL的安全性

2 年 ago
科, 颖
1 minute

确认安全等级

如果您使用OpenSSL，建议您在以下网站上检查安全等级。
https://sslcheck.globalsign.com/ja/

Apache的配置。

让我们在/etc/httpd/conf.d/ssl.conf等文件中添加以下内容。

$ sudo vim /etc/httpd/conf.d/ssl.conf
SSLHonorCipherOrder ON  ##追記
SSLCipherSuite EECDH+HIGH:EDH+HIGH:HIGH:MEDIUM:+3DES:!ADH:!RC4:!MD5:!aNULL:!eNULL:!SSLv2:!LOW:!EXP:!PSK:!SRP:!DSS:!KRB5  ##追記

您可以通过以下命令来了解默认设置和自定义设置之间的差异。

[許可されてる暗号方式の確認方法]
$ openssl ciphers -v

[制限したときの暗号方式の確認]
$ openssl ciphers -v 'EECDH+HIGH:EDH+HIGH:HIGH:MEDIUM:+3DES:!ADH:!RC4:!MD5:!aNULL:!eNULL:!SSLv2:!LOW:!EXP:!PSK:!SRP:!DSS:!KRB5'

设定的加密方式的详细信息

    • !は暗号スイートを使わせない。

 

    • -は暗号スイートを削除する。後ろで追加すれば使用することも可能

 

    +は暗号スイートの追加。
内容設定備考SSLv2の排除!SSLv2v2は危険なので排除40bitの暗号方式を削除!EXP米国輸出規制緩和により使用可能となった暗号化方式。非常に弱い56bit, 60bitの暗号方式を削除!Low同じく非常に弱い通信を暗号化しない方式を削除!eNULL
通信の認証をしない方式を削除!aNULL
メッセージ認証符号にMD5を使用するものを削除!MD5MD5は選択プレフィックス衝突攻撃に対し脆弱性が存在します暗号方式にRC4を使用するもの削除!RC4RC4は解読が容易になるようなアルゴリズムが存在するため危殆化しています匿名暗号方式を削除!ADH匿名なんて削除です128bit以上の暗号方式を追加+MEDIUM+HIGH
3DES暗号方式を追加+3DESRC4を削除するとWinXP + IEで接続出来なくなるため追加ECDHEの使用優先度を上げるEECDH+HIGH一番強固なので上げる。利用する場合は、apache2.2だと対応してないので、2.3.3以上にバージョンアップしてください。EDHの使用優先度を上げるEDH+HIGH次に強固なので上げる。ケルベロス認証を削除!KRB5基本的には使用していないためDSS(DSA)を削除!DSSRSAと違って、「通信の暗号化」はカバーしてるが、「ユーザ認証」を行っていないため、暗号強度が低い。PSKを削除!PSK基本的には使用しないSRPを削除!SRP基本的には使用しない

2014年10月16日更新：POODLE防范措施

这是SSLv3的漏洞。
请在考虑以下内容后，应用POODLE防护措施的设置。

    • TLS1.0 1.1 1.2のみの接続方式になります。

 

    • （確認方法：$ openssl s_client -tls1_2 -connect example.com:443）

 

    • firefoxはSSLv3で接続されるため、閲覧することが出来なくなります（修正パッチは11/25リリースのver34.0から。

 

    • 33.0で手動有効にして閲覧することは出来ますが、エンドユーザが全てやっているとは限りません。http://security.slashdot.jp/story/14/10/15/0850246/SSL-3.0%E3%81%AB%E6%B7%B1%E5%88%BB%E3%81%AA%E8%84%86%E5%BC%B1%E6%80%A7%E3%81%8C%E8%A6%8B%E3%81%A4%E3%81%8B%E3%82%8B）

ガラケーはドコモ、ソフトバンクはTLS1.0をサポートして問題ないですが、auはSSL3.0のみなので閲覧することが出来なくなります。

### :!SSLv3を追加するだけ
$ sudo vim /etc/httpd/conf.d/ssl.conf
EECDH+HIGH:EDH+HIGH:HIGH:MEDIUM:+3DES:!ADH:!RC4:!MD5:!aNULL:!eNULL:!SSLv3:!SSLv2:!LOW:!EXP:!PSK:!SRP:!DSS:!KRB5
✖
广告
将在 10 秒后关闭
bannerAds