ओपनएसएसएल और अपाचे के साथ टीएलएस 1.1 और 1.2 को कैसे सक्षम करें

Question

एसएसएल / टीएलएस (बीईएसटी) के खिलाफ नए घोषित ब्राउज़र एक्सप्लॉइट जैसे सुरक्षा मुद्दों की बढ़ती संख्या के मद्देनजर, मैं उत्सुक था कि हम ओपनएसएसएल और अपाचे के साथ टीएलएस 1.1 और 1.2 को सक्षम करने के बारे में कैसे सुनिश्चित कर सकते हैं कि हम कमजोर नहीं होंगे। इस तरह के खतरों के लिए वैक्टर।

Answer 1

TLS1.2 अब Apache के लिए उपलब्ध है, TLS1.2 को जोड़ने के लिए आपको बस अपने https वर्चुअल होस्ट कॉन्फ़िगरेशन में जोड़ना होगा:

SSLProtocol -all +TLSv1.2

-all अन्य ssl प्रोटोकॉल निकाल रहा है (SSL 1,2,3 TLS1)

+TLSv1.2 जोड़ रहा है TLS 1.2

अधिक ब्राउज़र संगतता के लिए आप उपयोग कर सकते हैं

SSLProtocol -all +TLSv1 +TLSv1.1 +TLSv1.2

वैसे आप सिफर सूट का उपयोग करके भी बढ़ा सकते हैं:

SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-GCM-SHA256:AES256+EDH:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GC$

आप अपनी https वेबसाइट सुरक्षा का परीक्षण ऑनलाइन स्कैनर से कर सकते हैं जैसे: https://www.ssllabs.com/ssltest/index.html

Comments

मुझे यकीन नहीं है कि इस पोस्ट को "आउटडेटेड" के रूप में चिह्नित किया गया है। मैंने अनुशंसित समाधान का उपयोग किया, और मेरे ग्राहक की साइट क्वालिस एसएसएल लैब्स पर "सी" रेटिंग से "ए" में चली गई।

— माइकल सोबजैक

नमस्ते, मैंने गलतफहमी को रोकने के लिए पुरानी चेतावनी को हटा दिया, यह पुराने सही उत्तर के लिए लिंक था। मुझे खुशी है कि आपकी सुरक्षा में वृद्धि हुई है;)

— फ्रूगिज़

साइट-उपलब्ध / 000-default.conf में मैंने वर्चुअल होस्ट 'SSLProtocol -all + TLSv1.2' में जोड़ा और मिला: AH00526: /etc/apache2/ites-enabled/000-default.conf की लाइन 31 पर सिंटैक्स त्रुटि : अमान्य कमांड 'SSLProtocol', संभवतः सर्वर कॉन्फ़िगरेशन में गलत तरीके से छोड़ी या परिभाषित की गई है जो सर्वर कॉन्फ़िगरेशन में luded नहीं है क्रिया 'configtest' विफल रही।

— एलिया वीस

क्या आपने mod_ssl सक्षम किया है? (कमांड: a2enmod ssl)

— फ्रूगिज़

"SSLProtocol: अवैध प्रोटोकॉल 'TLSv1.2'" (OS X 10.10.5)

— माइकल

Answer 2

TLSv1.1 और TLSv1.2 को सक्षम करने के लिए OpenSSL के नवीनतम संस्करण के साथ अपाचे संकलन करें

http://httpd.apache.org/docs/2.2/mod/mod_ssl.html#sslprotocol

SSLProtocol +TLSv1.1 +TLSv1.2

Answer 3

ओपनएसएसएल चैंज के अनुसार , टीएलएस 1.2 के लिए ओपनएसएसएल 1.0.1 की विकास शाखा में समर्थन जोड़ा गया था, लेकिन यह संस्करण अभी तक जारी नहीं हुआ है। संभवतः mod_ssl कोड में कुछ बदलावों की भी आवश्यकता होगी, वास्तव में Apache के लिए TLS 1.2 को सक्षम करने के लिए।

एक अन्य आमतौर पर इस्तेमाल किया जाने वाला एसएसएल / टीएलएस पुस्तकालय एनएसएस है ; इसका उपयोग कम प्रसिद्ध अपाचे मॉड्यूल mod_nss द्वारा किया जाता है ; दुर्भाग्य से, वर्तमान एनएसएस रिलीज भी टीएलएस 1.2 का समर्थन नहीं करते हैं।

फिर भी एक अन्य एसएसएल / टीएलएस लाइब्रेरी GnuTLS है , और यह टीएलएस 1.2 को अपनी वर्तमान रिलीज में पहले से ही समर्थन करने का दिखावा करती है। GnuTLS: mod_gnutls का उपयोग करने वाला एक अपाचे मॉड्यूल है , जो TLS 1.2 का समर्थन करने का भी दावा करता है। हालाँकि, यह मॉड्यूल नया प्रतीत होता है, और यह बहुत स्थिर नहीं हो सकता है; मैंने कभी इसका इस्तेमाल करने की कोशिश नहीं की।

Comments

@ सेर्गेई, लिंक और जानकारी के लिए धन्यवाद। मुझे अब भी दुःख है कि हम उनकी उम्र को देखते हुए इन मानकों का उपयोग नहीं कर पा रहे हैं। यह मेरे लिए अजीब लगता है कि हमें अपने सिस्टम और अपने नेटवर्क के रक्षक होने की आवश्यकता है फिर भी हम उन उपकरणों का उपयोग नहीं कर सकते हैं जो हमारी सुरक्षा मुद्राओं को बेहतर बनाने में मदद करेंगे। इसके अलावा, ऐसा लगता है कि वेब ब्राउज़र लोगों के पास अपाचे और संभवतः आईआईएस जैसे सर्वर लोगों के अलावा इन मानकों के लिए समर्थन को सक्षम करने के लिए जाने का एक तरीका है।

— जॉन

क्या यह उत्तर एक वर्ष बाद भी सटीक है?

— बेन वाल्थर

@BenWalther OpenSSL 1.0.1 मार्च 2012 में TLS 1.2 समर्थन के साथ जारी किया गया था। अब तक का नवीनतम संस्करण 1.0.1c है। मुझे यकीन नहीं है कि बाकी पोस्ट का कितना हिस्सा अभी भी वैध है।

— बुरहान अली Ali ’

Answer 4

आप नहीं कर सकते, ओपनएसएसएल टीएलएस 1.1 के लिए अभी तक रिलीज की पेशकश नहीं करता है।

/ पर एक प्रासंगिक टिप्पणी। इस समस्या के लिए:

क्या आप कृपया अनचाही जनता को समझाएंगे कि आप ऐसी दुनिया में TLS 1.1 और 1.2 समर्थन को कैसे लागू करेंगे, जहां प्रमुख पुस्तकालय OpenSSL अभी भी अपने स्थिर रिलीज में प्रोटोकॉल का समर्थन नहीं करता है? निश्चित रूप से, आप GnuTLS और mod_gnutls का उपयोग कर सकते हैं, और मैंने इसे आज़माया है, लेकिन इसका कोई मतलब नहीं था, क्योंकि ओपेरा के अलावा किसी भी ब्राउज़र ने इसका समर्थन नहीं किया था और मॉड्यूल में कुछ अजीब गड़बड़ियां थीं। IE 8/9 को विस्टा और 7 के तहत उनका समर्थन करना चाहिए था, लेकिन क्लाइंट_ पर 1.1 और 1.2 के सक्षम होने पर mod_gnutls द्वारा दी गई साइट तक पहुंचने में विफल रहे। मैंने इसे कल ही जिज्ञासा से बाहर निकाल दिया, और अब टीएलएस 1.1 और 1.2 पर ओपेरा 11.51 चोक भी। इसलिए वहाँ। कुछ भी वास्तव में प्रोटोकॉल का समर्थन नहीं करता है। TLS 1.1 के लिए OpenSSL 1.0.1 का इंतजार करना चाहिए और किसी को नहीं पता कि यह कब रीपो से टकराएगा।

http://it.slashdot.org/comments.pl?sid=2439924&cid=37477890

Comments

@ स्टीव-ओ, जानकारी के लिए धन्यवाद। यह एक तरह से निराशाजनक है कि टीएलएस 1.1 अप्रैल 2006 से बाहर है और टीएलएस 1.2 अगस्त 2008 से मार्च 2011 में अपडेट के साथ बाहर हो गया है और अभी भी हमारे पास इनका उपयोग करने की क्षमता नहीं है।

— जॉन

Answer 5

Google Chrome इंजीनियर, एडम लैंगले बताते हैं कि TLS 1.1 SSLv3 के साथ कार्यान्वयन समस्या के कारण इस समस्या को हल नहीं कर पाया है कि हर किसी को काम करना होगा: ब्राउज़र को छोटी-छोटी सर्वरों का समर्थन करने के लिए SSLv3 को डाउनग्रेड करना होगा, और एक हमलावर इसे आरंभ कर सकता है डाउनग्रेड करें।

http://www.imperialviolet.org/2011/09/23/chromeandbeast.html

Answer 6

Gnu_tls एक आकर्षण की तरह काम करता है और यह SNI (सर्वर नेम आइडेंटिफिकेशन) को भी लागू करता है, यह वर्चुअल यूजर्स में बहुत ही उपयोगी है ...।

लाइनक्स डिस्ट्रो में mod_gnutls के लिए बिन पैकेज खोजने के लिए भी कोई समस्या नहीं है, मैं इसे 2 साल से उपयोग करता हूं और कोई समस्या नहीं है, यह Opensl imho की तुलना में अधिक प्रदर्शन भी है।

लेकिन समस्या यह भी है कि अधिकांश ब्राउज़र tls 1.1 या 1.2 का समर्थन नहीं करते हैं, इसलिए कृपया लोगों के लिए ब्राउज़र को उन्नत करने के विचार को फैलाना शुरू करें।

Comments

@ Rastrano - क्या आपके पास इसको लागू करने के बारे में कोई सुझाव या लिंक हैं? जानकारी के लिए धन्यवाद और यह बहुत बुरा है कि "आधुनिक" ब्राउज़र अभी तक इसका समर्थन नहीं करते हैं।

— जॉन