Tutorial: ConfiguraSSL/TLSsu AL2 023

Connettersi all'istanza e confermare che Apache è in esecuzione. Per ulteriori informazioni, consulta Connessione a AL2 023 istanze.

[ec2-user ~]$ sudo systemctl is-enabled httpd

Se il valore restituito non è "enabled" ("abilitato), avviare Apache e configurarlo in modo che venga avviato all'avvio del sistema:

[ec2-user ~]$ sudo systemctl start httpd && sudo systemctl enable httpd

Per verificare che tutti i pacchetti software siano aggiornati, eseguire un aggiornamento rapido del software sull'istanza. Questo processo può richiedere alcuni minuti, ma è importante assicurarsi di disporre della versione più recente degli aggiornamenti della sicurezza e delle correzioni dei bug.

[ec2-user ~]$ sudo dnf install openssl mod_ssl

Dopo aver inserito il seguente comando, verrà indirizzato a un prompt in cui è possibile immettere le informazioni sul sito.

[ec2-user ~]$ sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/pki/tls/private/apache-selfsigned.key -out /etc/pki/tls/certs/apache-selfsigned.crt

Viene così generato il nuovo file apache-selfsigned.crt nella directory /etc/pki/tls/certs/. Il nome di file specificato corrisponde al file predefinito assegnato nella direttiva SSLCertificateFile in /etc/httpd/conf.d/ssl.conf

L'istanza dispone ora dei file seguenti, che serviranno per configurare il server sicuro e creare un certificato per il test:

Il file contiene sia un certificato autofirmato che la relativa chiave privata. Apache richiede che il certificato e la chiave siano in PEM formato, che consiste in ASCII caratteri codificati in Base64 racchiusi tra righe "" e "BEGIN", come nel seguente esempio abbreviato. END

-----BEGIN PRIVATE KEY-----
MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQD2KKx/8Zk94m1q
3gQMZF9ZN66Ls19+3tHAgQ5Fpo9KJDhzLjOOCI8u1PTcGmAah5kEitCEc0wzmNeo
BCl0wYR6G0rGaKtK9Dn7CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vr
GvwnKoMh3DlK44D9dX7IDua2PlYx5+eroA+1Lqf32ZSaAO0bBIMIYTHigwbHMZoT
...
56tE7THvH7vOEf4/iUOsIrEzaMaJ0mqkmY1A70qQGQKBgBF3H1qNRNHuyMcPODFs
27hDzPDinrquSEvoZIggkDMlh2irTiipJ/GhkvTpoQlv0fK/VXw8vSgeaBuhwJvS
LXU9HvYq0U6O4FgD3nAyB9hI0BE13r1HjUvbjT7moH+RhnNz6eqqdscCS09VtRAo
4QQvAqOa8UheYeoXLdWcHaLP
-----END PRIVATE KEY-----                    

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t
MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK
DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV
bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy
...
z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0
CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vrGvwnKoMh3DlK44D9dlU3
WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak
3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg==
-----END CERTIFICATE-----

I nomi e le estensioni di file rappresentano una convenzione e non hanno alcuna ripercussione sulla funzionalità. Ad esempio è possibile denominare un certificato cert.crt, cert.pem o con qualsiasi altro nome di file, a condizione che la direttiva corrispondente nel file ssl.conf utilizzi lo stesso nome.

Riavviare Apache.

[ec2-user ~]$ sudo systemctl restart httpd

Il tuo server web Apache dovrebbe ora supportare HTTPS (sicuroHTTP) la porta 443. Provalo inserendo l'indirizzo IP o il nome di dominio completo della tua EC2 istanza in una URL barra del browser con il prefisso. https://

Poiché ti stai connettendo a un sito con un certificato host autofirmato non attendibile, il browser potrebbe visualizzare una serie di avvisi di sicurezza. Ignorare gli avvisi e passare al sito.

Se si apre la pagina di test Apache predefinita, significa che la configurazione TLS sul server è stata completata correttamente. Tutti i dati in transito tra il browser e il server ora sono crittografati.

Connect alla propria istanza e naviga to /etc/pki/tls/private /. Questa è la directory per cui memorizzi la chiave privata del server. TLS Se preferisci utilizzare una chiave host esistente per generare ilCSR, vai al passaggio 3. Per ulteriori informazioni sulla connessione alla tua istanza, consulta Connessione a AL2 023 istanze

(Opzionale) Generare una nuova chiave privata. Di seguito sono riportate alcune configurazioni di chiave di esempio. Qualsiasi chiave risultante funziona con il server Web, ma il livello e il tipo di sicurezza implementati possono variare.

Verifica che la nuova chiave privata disponga di titolarità e autorizzazioni altamente restrittivi (owner=root, group=root, read/write solo per il proprietario). Il comando è come mostrato nell'esempio seguente.

[ec2-user ~]$ sudo chown root:root custom.key
[ec2-user ~]$ sudo chmod 600 custom.key
[ec2-user ~]$ ls -al custom.key

I comandi precedenti restituiscono il seguente risultato:

-rw------- root root custom.key

Dopo aver creato e configurato una chiave soddisfacente, è possibile creare unaCSR.

Crea un CSR utilizzando la tua chiave preferita. Nell'esempio seguente viene utilizzato custom.key.

[ec2-user ~]$ sudo openssl req -new -key custom.key -out csr.pem

Apri SSL apre una finestra di dialogo e richiede le informazioni mostrate nella tabella seguente. Tutti i campi, tranne Common Name (Nome comune), sono facoltativi per un certificato host di base convalidato a livello di dominio.

Infine, Open SSL richiede una password di sfida opzionale. Questa password si applica solo alle transazioni tra te CSR e la tua CA, quindi segui i consigli della CA in merito a questo e all'altro campo opzionale, il nome dell'azienda facoltativo. La password di CSR sfida non ha alcun effetto sul funzionamento del server.

Il file csr.pem risultante contiene la chiave pubblica, la firma digitale della chiave pubblica e i metadati immessi.

Inviala CSR a una CA. Questo di solito consiste nell'aprire il CSR file in un editor di testo e copiarne il contenuto in un modulo web. In questo momento, è possibile che ti venga chiesto di fornire uno o più nomi alternativi del soggetto (SANs) da inserire nel certificato. Se www.example.com è il nome comune, allora example.com sarebbe buonoSAN, e viceversa. Un visitatore del sito che immettesse uno di questi due nomi avrebbe accesso a una connessione priva di errori. Se il tuo modulo web CA lo consente, includi il nome comune nell'elenco diSANs. Alcuni lo CAs includono automaticamente.

Dopo l'approvazione della richiesta, riceverai un nuovo certificato host firmato dalla CA. Ti potrebbe inoltre venire richiesto di scaricare un file di certificato intermedio contenente i certificati aggiuntivi necessari per completare la catena di attendibilità della CA.

- - - - -BEGIN CERTIFICATE - - - - - 

- - - -END CERTIFICATE - - - - -

[ec2-user certs]$ openssl x509 -in certificate.crt -text

Posizionare il nuovo certificato firmato dalla CA ed eventuali certificati intermedi nella directory /etc/pki/tls/certs.

Dall'interno della /etc/pki/tls/certs directory, verificate che le impostazioni relative alla proprietà del file, al gruppo e alle autorizzazioni corrispondano ai valori predefiniti AL2 023, estremamente restrittivi (owner=root, group=root, read/write for owner). L'esempio seguente mostra i comandi da utilizzare.

[ec2-user certs]$ sudo chown root:root custom.crt
[ec2-user certs]$ sudo chmod 600 custom.crt
[ec2-user certs]$ ls -al custom.crt

Questi comandi dovrebbero restituire il seguente risultato.

-rw------- root root custom.crt

Le autorizzazioni del file del certificato intermedio sono meno rigide (owner=root, group=root, il proprietario può scrivere, il gruppo può leggere, tutti gli utenti possono leggere). L'esempio seguente mostra i comandi da utilizzare.

[ec2-user certs]$ sudo chown root:root intermediate.crt
[ec2-user certs]$ sudo chmod 644 intermediate.crt
[ec2-user certs]$ ls -al intermediate.crt

Questi comandi dovrebbero restituire il seguente risultato.

-rw-r--r-- root root intermediate.crt

Inserisci la chiave privata che hai usato per crearla nella directory. CSR /etc/pki/tls/private/

Dall'interno della /etc/pki/tls/private directory, utilizzate i seguenti comandi per verificare che le impostazioni di proprietà, gruppo e autorizzazione del file corrispondano ai valori predefiniti AL2 023, estremamente restrittivi (owner=root, group=root, read/write for owner only).

[ec2-user private]$ sudo chown root:root custom.key
[ec2-user private]$ sudo chmod 600 custom.key
[ec2-user private]$ ls -al custom.key

Questi comandi dovrebbero restituire il seguente risultato.

-rw------- root root custom.key

Modificare /etc/httpd/conf.d/ssl.conf per riflettere i nuovi file del certificato e della chiave.

1. Indicare il percorso e il nome del file del certificato host firmato dalla CA nella direttiva SSLCertificateFile di Apache:

   SSLCertificateFile /etc/pki/tls/certs/custom.crt

2. In caso di ricezione di un file del certificato intermedio (intermediate.crt in questo esempio), specificare il relativo percorso e nome di file utilizzando la direttiva SSLCACertificateFile di Apache:

   SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

   Nota

   Alcuni CAs combinano il certificato host e i certificati intermedi in un unico file, rendendo superflua la direttiva. SSLCACertificateFile Consultare le istruzioni fornite dalla CA.

3. Specificare il percorso e il nome del file della chiave privata (custom.key in questo esempio) nella direttiva SSLCertificateKeyFile di Apache:

   SSLCertificateKeyFile /etc/pki/tls/private/custom.key

Salvare /etc/httpd/conf.d/ssl.conf e riavviare Apache.

[ec2-user ~]$ sudo systemctl restart httpd

Metti alla prova il tuo server inserendo il tuo nome di dominio in una URL barra del browser con il prefissohttps://. Il tuo browser dovrebbe caricare la pagina di test HTTPS senza generare errori.

Aprire il file di configurazione /etc/httpd/conf.d/ssl.conf in un editor di testo e commentare la seguente riga inserendo il carattere "#" all'inizio:

#SSLProtocol all -SSLv3

Aggiungere la seguente direttiva:

#SSLProtocol all -SSLv3
SSLProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2

Questa direttiva disabilita esplicitamente SSL le versioni 2 e 3, nonché TLS le versioni 1.0 e 1.1. Il server ora rifiuta di accettare connessioni crittografate con client che utilizzano qualsiasi cosa tranne 1.2. TLS Le descrizioni dettagliate della direttiva illustrano più chiaramente al lettore la tipologia di configurazione impostata per il server.

Nel file di configurazione /etc/httpd/conf.d/ssl.conf, individuare la sezione con la direttiva SSLCipherSuite e commentare la riga esistente inserendo il carattere "#" all'inizio.

#SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5

Specificare suite di crittografia esplicite e un ordine di crittografia che dia priorità alla funzione Forward Secrecy e che eviti crittografie non sicure. La SSLCipherSuite direttiva qui utilizzata si basa sull'output del Mozilla SSL Configuration Generator, che adatta una TLS configurazione al software specifico in esecuzione sul server. Determina innanzitutto le tue SSL versioni di Apache e Open utilizzando l'output dei seguenti comandi.

[ec2-user ~]$ yum list installed | grep httpd

[ec2-user ~]$ yum list installed | grep openssl

Ad esempio, se le informazioni restituite sono Apache 2.4.34 e Open SSL 1.0.2, le inseriamo nel generatore. Scegliere poi il modello di compatibilità “moderna”, che crea una direttiva SSLCipherSuite e applica in modo rigido la sicurezza ma che funziona per la maggior parte dei browser. Se il software non supporta la configurazione moderna, è possibile aggiornarlo o scegliere la configurazione “intermedia”.

SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:
ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256

I cifrari selezionati hanno ECDHEnei loro nomi l'abbreviazione di Elliptic Curve Diffie-Hellman Ephemeral. Il termine effimero fa riferimento alla proprietà Forward Secrecy. Come sottoprodotto, RC4 questi cifrari non supportano.

È consigliabile utilizzare un elenco esplicito di crittografie anziché utilizzare le impostazioni predefinite o le direttive concise il cui contenuto non è visibile.

Copiare la direttiva generata in /etc/httpd/conf.d/ssl.conf.

Rimuovere infine i commenti mediante la rimozione del carattere "#" dall'inizio della riga:

#SSLHonorCipherOrder on

Questa direttiva obbliga il server a preferire crittografie con classificazione più elevata, comprese (in questo caso) quelle che supportano la proprietà Forward Secrecy. Con questa direttiva abilitata, il server cerca di stabilire una connessione stabile e affidabile prima di ripiegare sulle crittografie consentite con un livello inferiore di sicurezza.