Sådan aktiveres TLS 1.3 i Apache på CentOS 8

TLS 1.3 er en version af TLS-protokollen (Transport Layer Security), der blev offentliggjort i 2018 som en foreslået standard i RFC 8446. Den tilbyder sikkerheds- og ydeevneforbedringer i forhold til sine forgængere.

Denne vejledning vil demonstrere, hvordan du aktiverer TLS 1.3 ved hjælp af Apache-webserveren på CentOS 8.

Krav

• Vultr Cloud Compute (VC2)-instans, der kører CentOS 8.
• Et gyldigt domænenavn og korrekt konfigurerede A/ AAAA/ CNAMEDNS-poster for dit domæne.
• Et gyldigt TLS-certifikat. Vi får en fra Let's Encrypt.
• Apache-version 2.4.36eller nyere.
• OpenSSL version 1.1.1eller nyere.

Før du begynder

Tjek CentOS-versionen.

cat /etc/centos-release
# CentOS Linux release 8.0.1905 (Core)

Opret en ny non-rootbrugerkonto med sudoadgang og skift til den.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

BEMÆRK: Erstat johndoemed dit brugernavn.

Indstil tidszonen.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Sørg for, at dit system er opdateret.

sudo yum update

Installer de nødvendige pakker.

sudo yum install -y socat git

Deaktiver SELinux og Firewall.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Installer acme.shklienten og få et TLS-certifikat fra Let's Encrypt

Installer acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

Tjek versionen.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Få RSA- og ECDSA-certifikater for dit domæne.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

BEMÆRK: Erstat example.comi kommandoer med dit domænenavn.

Opret fornuftige mapper til at gemme dine certifikater og nøgler i. Vi vil bruge /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Installer og kopier certifikater til /etc/letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Efter at have kørt ovenstående kommandoer, vil dine certifikater og nøgler være på følgende steder:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Installer Apache

Apache tilføjede understøttelse af TLS 1.3 i version 2.4.36. CentOS 8-systemet leveres med Apache og OpenSSL, der understøtter TLS 1.3 ud af æsken, så der er ingen grund til at bygge en brugerdefineret version.

Download og installer den seneste 2.4-version af Apache og dets modul til SSL via yumpakkehåndteringen.

sudo yum install -y httpd mod_ssl

Tjek versionen.

sudo httpd -v
# Server version: Apache/2.4.37 (centos)
# Server built:   Jul  30 2019 19:56:12

Start og aktiver Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Konfigurer Apache til TLS 1.3

Nu hvor vi har installeret Apache med succes, er vi klar til at konfigurere den til at begynde at bruge TLS 1.3 på vores server.

Kør sudo vim /etc/httpd/conf.d/example.com.conf, og udfyld filen med følgende grundlæggende konfiguration.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Gem filen og afslut med :+ W+ Q.

Tjek konfigurationen.

sudo apachectl configtest

Genindlæs Apache for at aktivere den nye konfiguration.

sudo systemctl reload httpd.service

Åbn dit websted via HTTPS-protokol i din webbrowser. For at bekræfte TLS 1.3 kan du bruge browserudviklingsværktøjer eller SSL Labs-tjenesten. Skærmbillederne nedenfor viser Chromes sikkerhedsfane med TLS 1.3 i aktion.

Du har med succes aktiveret TLS 1.3 i Apache på din CentOS 8-server. Den endelige version af TLS 1.3 blev defineret i august 2018, så der er ikke noget bedre tidspunkt at begynde at adoptere denne nye teknologi.