☰

Amazon Linux 인스턴스에서 SSLv3를 비활성화할 수 없습니다.

tag-icon • tag-icon linux ssl apache-httpd apache-virtualhost
Amazon Linux 인스턴스에서 SSLv3를 비활성화할 수 없습니다.

GoDaddy에서 발급한 SSL 인증서를 사용하고 있습니다. 내 Linux 인스턴스의 소프트웨어 세부 정보는 다음과 같습니다.

  • Apache 버전 - Apache/2.4.16(Amazon)
  • Openssl 버전 - OpenSSL 1.0.2c 2015년 6월 12일
  • mod_ssl 버전 - mod_ssl-2.4.2

참고:- RPM 패키지에서 Apache를 설치한 다음 소스에서 mod_ssl 및 openssl을 설치했습니다.

1) 문제는 SSLv3를 비활성화하고 SSL 서버를 테스트할 때입니다. https://www.ssllabs.com/ssltest/그것은 나에게 경고한다"이 서버는 현재 최고의 TLSv1.2를 지원하지 않습니다."TLSv1.2 프로토콜을 활성화하면 동일한 테스트에서 경고가 표시됩니다."이 서버는 SSLv3 프로토콜을 지원하며 푸들 공격에 취약합니다." SSLv3을 비활성화하고 동시에 서버에서 TLSv1.2를 활성화하는 방법은 무엇입니까? SSL용 Vhost 파일의 현재 구성은 다음과 같습니다.

SSLProtocol all -SSLv2 -SSLv3
SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA
SSLHonorCipherOrder     on

2) 강력한 Diffie-Hellman 그룹을 만들 수 없습니다. 현재 1024비트 Diffie-Hellman 그룹이며 이 사이트에 대한 2048비트 그룹을 만들고 싶습니다. 2048비트 키를 생성하려면 다음 명령을 실행합니다.

openssl dhparam -out dhparams.pem 2048

VHost의 내 구성은 다음과 같습니다.

SSLOpenSSLConfCmd DHParameters /etc/httpd/dhparams.pem

서버를 다시 시작하면 오류 메시지가 나타납니다.

Invalid command 'SSLOpenSSLConfCmd', perhaps misspelled or defined by a module not included in the server configuration

이 문제를 어떻게 해결하나요?

답변1

Apache http 서버의 경우 다음을 시도하십시오.

SSLProtocol -all +TLSv1

답변2

Amazon에 인스턴스를 배포하고 계시므로 제가 했던 방식대로 이 튜토리얼을 따르고 계시리라 생각됩니다.http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/SSL-on-an-instance.html

이 튜토리얼에서는 Letscrypt를 사용하여 무료 CA를 얻는 것이 좋습니다. 저는 그렇게 했습니다. ssl.conf 파일을 성공적으로 변경하려고 많은 연구를 한 끝에 Letsencrypt에는 ssl.conf 파일에 입력한 모든 내용을 재정의하는 자체 구성 파일이 있다는 것을 발견했습니다. 그냥 탐색

./etc/letsencrypt/options-ssl-apache.conf

ssl.conf 파일에 지시된 대로 변경 사항을 입력합니다. 그런 다음 아파치를 다시 시작하면 변경 사항이 적용됩니다.

관련 정보