security - Amazon Linux 支持的 SSL 中等强度密码套件

Question

我在 Amazon Linux 服务器上运行了 Nessus 扫描，结果显示为“支持 SSL 中强度密码套件”。

我在/etc/httpd/ssl.conf中修改了以下设置

SSLProtocol -ALL -TLSv1 +TLSv1.1 +TLSv1.2 -SSLv3
SSLProxyProtocol all -SSlv2 -SSLv3
SSLHonorCipherOrder on
#SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH 
SSLCipherSuite "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 !EECDH+aRSA+RC4 EECDH EDH+aRSA !RC4 !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !EDH-RSA-DES-CBC3-SHA !ECDHE-RSA-DES-CBC3-SHA !DES-CBC3-SHA !ECDHE-RSA-RC4-SHA !RC4-MD5 !RC4-SHA"

我已经重新启动了 httpd 服务并重新运行了 nessus 扫描。上述对 ssl.cof 的更改无效。扫描再次得出以下结果，

• SSL 第 2 版和第 3 版协议(protocol)检测 SSL 中等强度密码

• 支持 SSL RC4 密码套件(成年礼)

我怀疑我是否还需要对 openssl 配置进行一些更改。如果是，我应该在哪里以及如何配置 Openssl 密码套件？

我已确认我正在更改正确的 ssl.conf。

任何帮助将不胜感激。

Answer 1

SSL 加固不是一个简单的话题，但是网上有很多很好的资源。我建议您通过以下链接阅读如何强化 Apache:https://cipherli.st/

本网站为您提供了一个随时可用的安全配置，它不仅限于密码套件，还为您提供了更多相关信息，如果您想了解的话。

例如，对于 Apache，建议是:

SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH
SSLProtocol All -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
SSLHonorCipherOrder On
Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"
Header always set X-Frame-Options DENY
Header always set X-Content-Type-Options nosniff
# Requires Apache >= 2.4
SSLCompression off
SSLUseStapling on
SSLStaplingCache "shmcb:logs/stapling-cache(150000)"
# Requires Apache >= 2.4.11
SSLSessionTickets Off

第一行是推荐的密码套件。他们在 https://raymii.org/s/tutorials/Strong_SSL_Security_On_Apache2.html 提供了此配置的描述

完成后不要忘记重新加载apache配置!