Sécurisation SSL / TLS de apache - Historique des versions

Pfoo : /* Configuration recommandée pour une sécurité maximum */

2022-07-25T09:32:20Z

Configuration recommandée pour une sécurité maximum

← Version précédente		Version du 25 juillet 2022 à 11:32
Ligne 65 :		Ligne 65 :
	</pre>		</pre>

	Accessoirement, mozilla a publié [https://wiki.mozilla.org/Security/Server_Side_TLS#Recommended_configurations \| un guide] ainsi qu'un [https:/~~/mozilla.github.io/server-side-tls~~/ssl-config~~-generator~~/ \| générateur de configuration] plutôt efficace.		Accessoirement, mozilla a publié [https://wiki.mozilla.org/Security/Server_Side_TLS#Recommended_configurations \| un guide] ainsi qu'un [https://ssl-config.mozilla.org/ \| générateur de configuration] plutôt efficace.

	=tests=		=tests=

Pfoo : /* tests */

2017-04-22T04:38:43Z

tests

← Version précédente		Version du 22 avril 2017 à 06:38
Ligne 75 :		Ligne 75 :
	nmap --script ssl-cert,ssl-enum-ciphers -p 443,465,993,995 yoursite.tld		nmap --script ssl-cert,ssl-enum-ciphers -p 443,465,993,995 yoursite.tld
	</pre>		</pre>

			https://ssllabs.com <br>
			https://tls.imirhil.fr

	=HSTS, HPKP et DANE/TLSA=		=HSTS, HPKP et DANE/TLSA=

Pfoo : /* ECDH */

2017-03-25T16:58:29Z

ECDH

← Version précédente		Version du 25 mars 2017 à 18:58
Ligne 33 :		Ligne 33 :
	* firefox 52 supporte les courbes x25519, secp256r1, secp384r1 et secp521r1		* firefox 52 supporte les courbes x25519, secp256r1, secp384r1 et secp521r1
	* chrome 57 supporte les courbes tls_grease_8a8a, x25519, secp256r1 et secp384r1		* chrome 57 supporte les courbes tls_grease_8a8a, x25519, secp256r1 et secp384r1
			* vous pouvez vous faire une idée des courbes supportés pour chaque navigateur ici : https://www.ssllabs.com/ssltest/clients.html
			<br>
	On peut aussi vérifier la courbe utilisé :		On peut aussi vérifier la courbe utilisé :
	<pre>openssl ecparam -in /etc/ssl/private/ecdhsecp384r1.pem -text -noout</pre>		<pre>openssl ecparam -in /etc/ssl/private/ecdhsecp384r1.pem -text -noout</pre>

Pfoo : /* ECDH */

2017-03-25T16:57:34Z

ECDH

← Version précédente		Version du 25 mars 2017 à 18:57
Ligne 30 :		Ligne 30 :
	<pre>openssl ecparam -list_curves</pre>		<pre>openssl ecparam -list_curves</pre>

	A l'heure ou j'écris ces lignes, chrome ne supporte ~~que~~ les courbes ~~NIST P-256~~ et ~~P-384 (pas P-521)~~		A l'heure ou j'écris ces lignes :
			* firefox 52 supporte les courbes x25519, secp256r1, secp384r1 et secp521r1
			* chrome 57 supporte les courbes tls_grease_8a8a, x25519, secp256r1 et secp384r1

	On peut aussi vérifier la courbe utilisé :		On peut aussi vérifier la courbe utilisé :

Pfoo : /* ECDH */

2017-03-25T16:44:25Z

ECDH

← Version précédente		Version du 25 mars 2017 à 18:44
Ligne 20 :		Ligne 20 :

	==ECDH==		==ECDH==
	Par défaut, apache utilise ECC 256 bits (secp256r1) quelque soit la taille de la clé rsa utilisé.<br>		Par défaut, apache utilise ECC 256 bits (secp256r1 aussi parfois nommé prime256v1) quelque soit la taille de la clé rsa utilisé.<br>
	Vous pouvez cependant forcer l'utilisation d'une courbe ECC plus grande en l'ajoutant après le certificat ssl défini par la directive <code>SSLCertificateFile</code> (il faudra donc le faire pour chaque site que vous sécurisez en ssl ...) :		Vous pouvez cependant forcer l'utilisation d'une courbe ECC plus grande en l'ajoutant après le certificat ssl défini par la directive <code>SSLCertificateFile</code> (il faudra donc le faire pour chaque site que vous sécurisez en ssl ...) :

Pfoo : /* ECDH */

2017-03-25T16:38:28Z

ECDH

← Version précédente		Version du 25 mars 2017 à 18:38
Ligne 22 :		Ligne 22 :
	Par défaut, apache utilise ECC 256 bits (secp256r1) quelque soit la taille de la clé rsa utilisé.<br>		Par défaut, apache utilise ECC 256 bits (secp256r1) quelque soit la taille de la clé rsa utilisé.<br>
	Vous pouvez cependant forcer l'utilisation d'une courbe ECC plus grande en l'ajoutant après le certificat ssl défini par la directive <code>SSLCertificateFile</code> (il faudra donc le faire pour chaque site que vous sécurisez en ssl ...) :		Vous pouvez cependant forcer l'utilisation d'une courbe ECC plus grande en l'ajoutant après le certificat ssl défini par la directive <code>SSLCertificateFile</code> (il faudra donc le faire pour chaque site que vous sécurisez en ssl ...) :
	<pre>openssl ecparam -name secp384r1 -out /etc/ssl/private/~~ecdhsecp584r1~~.pem
			<pre>openssl ecparam -name secp384r1 -out /etc/ssl/private/ecdhsecp384r1.pem
	cat /etc/ssl/private/ecdhsecp384r1.pem >> /etc/ssl/votresite.tld.pem		cat /etc/ssl/private/ecdhsecp384r1.pem >> /etc/ssl/votresite.tld.pem
	</pre>		</pre>

Pfoo : /* ECDH */

2017-03-25T16:36:43Z

ECDH

← Version précédente		Version du 25 mars 2017 à 18:36
Ligne 20 :		Ligne 20 :

	==ECDH==		==ECDH==
	Par défaut, apache utilise ECC 256 bits quelque soit la taille de la clé rsa utilisé.<br>		Par défaut, apache utilise ECC 256 bits (secp256r1) quelque soit la taille de la clé rsa utilisé.<br>
	Vous pouvez cependant forcer l'utilisation d'une ~~courne~~ ECC plus grande en l'ajoutant après le certificat ssl défini par la directive <code>SSLCertificateFile</code> (il faudra donc le faire pour chaque site que vous sécurisez en ssl ...) :		Vous pouvez cependant forcer l'utilisation d'une courbe ECC plus grande en l'ajoutant après le certificat ssl défini par la directive <code>SSLCertificateFile</code> (il faudra donc le faire pour chaque site que vous sécurisez en ssl ...) :
	<pre>openssl ecparam -name secp384r1 -out /etc/ssl/private/ecdhsecp584r1.pem		<pre>openssl ecparam -name secp384r1 -out /etc/ssl/private/ecdhsecp584r1.pem
	cat /etc/ssl/private/ecdhsecp384r1.pem >> /etc/ssl/votresite.tld.pem		cat /etc/ssl/private/ecdhsecp384r1.pem >> /etc/ssl/votresite.tld.pem

Pfoo : /* NB : */

2016-06-20T14:24:13Z

NB :

← Version précédente		Version du 20 juin 2016 à 16:24
Ligne 5 :		Ligne 5 :
	=NB :=		=NB :=
	* il semblerait que sslprotocol ne puisse pas être défini dans une vhost (pour être exact, seul le premier sslprotocol lu par apache est pris en compte. Le mieux est de le définir dans /etc/apache2/mods-enabled/ssl.conf		* il semblerait que sslprotocol ne puisse pas être défini dans une vhost (pour être exact, seul le premier sslprotocol lu par apache est pris en compte. Le mieux est de le définir dans /etc/apache2/mods-enabled/ssl.conf
	* SSLCipherSuite peut lui être défini plusieurs fois à condition d'aller du moins sécurisé (celui avec le plus de ciphers autorisés) au plus sécurisé (celui avec ~~le moins de~~ ciphers ~~autorisés~~) (le moins sécurisé dans ssl.conf, le plus sécurisé dans la vhost)		* SSLCipherSuite peut lui être défini plusieurs fois à condition d'aller du moins sécurisé (celui avec le plus de ciphers autorisés) au plus sécurisé (celui avec les ciphers les plus restrictifs) (le moins sécurisé dans ssl.conf, le plus sécurisé dans la vhost)
	* l'ordre des autorités intermédiaires dans le fichier de chaine de certification : du plus proche du certificat au plus éloigné. En gros : <code>cat signing_ca.pem intermediate_ca.pem root_ca.pem > cachain.pem</code>		* l'ordre des autorités intermédiaires dans le fichier de chaine de certification : du plus proche du certificat au plus éloigné. En gros : <code>cat signing_ca.pem intermediate_ca.pem root_ca.pem > cachain.pem</code>

Pfoo : /* NB : */

2016-06-20T14:23:14Z

NB :

← Version précédente		Version du 20 juin 2016 à 16:23
Ligne 5 :		Ligne 5 :
	=NB :=		=NB :=
	* il semblerait que sslprotocol ne puisse pas être défini dans une vhost (pour être exact, seul le premier sslprotocol lu par apache est pris en compte. Le mieux est de le définir dans /etc/apache2/mods-enabled/ssl.conf		* il semblerait que sslprotocol ne puisse pas être défini dans une vhost (pour être exact, seul le premier sslprotocol lu par apache est pris en compte. Le mieux est de le définir dans /etc/apache2/mods-enabled/ssl.conf
	* SSLCipherSuite peut lui être défini plusieurs fois à condition d'aller du plus sécurisé au moins ~~sécuriser~~ (le moins sécurisé dans ssl.conf, le plus sécurisé dans la vhost)		* SSLCipherSuite peut lui être défini plusieurs fois à condition d'aller du moins sécurisé (celui avec le plus de ciphers autorisés) au plus sécurisé (celui avec le moins de ciphers autorisés) (le moins sécurisé dans ssl.conf, le plus sécurisé dans la vhost)
	* l'ordre des autorités intermédiaires dans le fichier de chaine de certification : du plus proche du certificat au plus éloigné. En gros : <code>cat signing_ca.pem intermediate_ca.pem root_ca.pem > cachain.pem</code>		* l'ordre des autorités intermédiaires dans le fichier de chaine de certification : du plus proche du certificat au plus éloigné. En gros : <code>cat signing_ca.pem intermediate_ca.pem root_ca.pem > cachain.pem</code>

Pfoo : /* ECDH */

2016-03-24T01:03:38Z

ECDH

← Version précédente		Version du 24 mars 2016 à 03:03
Ligne 22 :		Ligne 22 :
	Par défaut, apache utilise ECC 256 bits quelque soit la taille de la clé rsa utilisé.<br>		Par défaut, apache utilise ECC 256 bits quelque soit la taille de la clé rsa utilisé.<br>
	Vous pouvez cependant forcer l'utilisation d'une courne ECC plus grande en l'ajoutant après le certificat ssl défini par la directive <code>SSLCertificateFile</code> (il faudra donc le faire pour chaque site que vous sécurisez en ssl ...) :		Vous pouvez cependant forcer l'utilisation d'une courne ECC plus grande en l'ajoutant après le certificat ssl défini par la directive <code>SSLCertificateFile</code> (il faudra donc le faire pour chaque site que vous sécurisez en ssl ...) :
	<pre>openssl ecparam -name ~~secp521r1~~ -out /etc/ssl/private/~~ecdh521r1~~.pem		<pre>openssl ecparam -name secp384r1 -out /etc/ssl/private/ecdhsecp584r1.pem
	cat /etc/ssl/private/~~ecdh521r1~~.pem >> /etc/ssl/votresite.tld.pem		cat /etc/ssl/private/ecdhsecp384r1.pem >> /etc/ssl/votresite.tld.pem
	</pre>		</pre>

Ligne 32 :		Ligne 32 :

	On peut aussi vérifier la courbe utilisé :		On peut aussi vérifier la courbe utilisé :
	<pre>openssl ecparam -in /etc/ssl/private/~~ecdh521r1~~.pem -text -noout</pre>		<pre>openssl ecparam -in /etc/ssl/private/ecdhsecp384r1.pem -text -noout</pre>

	Dès Apache 2.4.8 et OpenSSL 1.0.2, on peut dire a apache quelle courbe utiliser de manière globale par ordre de priorité et ce pour tous les sites (plus de necessité de le faire dans chaque fichier .pem) :		Dès Apache 2.4.8 et OpenSSL 1.0.2, on peut dire a apache quelle courbe utiliser de manière globale par ordre de priorité et ce pour tous les sites (plus de necessité de le faire dans chaque fichier .pem) :

Sécurisation SSL / TLS de apache - Historique des versions

Pfoo : /* Configuration recommandée pour une sécurité maximum */

Pfoo : /* tests */

Pfoo : /* ECDH */

Pfoo : /* ECDH */

Pfoo : /* ECDH */

Pfoo : /* ECDH */

Pfoo : /* ECDH */

Pfoo : /* NB : */

Pfoo : /* NB : */

Pfoo : /* ECDH */

Pfoo : /* Configuration recommandée pour une sécurité maximum */

Pfoo : /* tests */

Pfoo : /* ECDH */

Pfoo : /* ECDH */

Pfoo : /* ECDH */

Pfoo : /* ECDH */

Pfoo : /* ECDH */

Pfoo : /* NB : */

Pfoo : /* NB : */

Pfoo : /* ECDH */