Ako povoliť TLS 1.3 v Apache na CentOS 8

TLS 1.3 je verzia protokolu Transport Layer Security (TLS), ktorý bol publikovaný v roku 2018 ako navrhovaný štandard v RFC 8446. Oproti svojim predchodcom ponúka vylepšenia zabezpečenia a výkonu.

Táto príručka ukáže, ako povoliť TLS 1.3 pomocou webového servera Apache na CentOS 8.

Požiadavky

• Inštancia Vultr Cloud Compute (VC2) so systémom CentOS 8.
• Platný názov domény a správne nakonfigurované A/ AAAA/ CNAMEDNS záznamy pre vašu doménu.
• Platný certifikát TLS. Jeden dostaneme z Let's Encrypt.
• Verzia Apache 2.4.36alebo vyššia.
• Verzia OpenSSL 1.1.1alebo vyššia.

Predtým ako začneš

Skontrolujte verziu CentOS.

cat /etc/centos-release
# CentOS Linux release 8.0.1905 (Core)

Vytvorte si nový non-rootpoužívateľský účet s sudoprístupom a prepnite sa naň.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

POZNÁMKA: Nahraďte johndoesvojim užívateľským menom.

Nastavte časové pásmo.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Uistite sa, že váš systém je aktuálny.

sudo yum update

Nainštalujte potrebné balíčky.

sudo yum install -y socat git

Vypnite SELinux a Firewall.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Nainštalujte acme.shklienta a získajte certifikát TLS od spoločnosti Let's Encrypt

Nainštalujte acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

Skontrolujte verziu.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Získajte certifikáty RSA a ECDSA pre svoju doménu.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

POZNÁMKA: Nahraďte example.comv príkazoch názvom vašej domény.

Vytvorte rozumné adresáre na ukladanie vašich certifikátov a kľúčov. Použijeme /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Nainštalujte a skopírujte certifikáty do /etc/letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Po spustení vyššie uvedených príkazov budú vaše certifikáty a kľúče na nasledujúcich miestach:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Nainštalujte Apache

Apache pridal podporu pre TLS 1.3 vo verzii 2.4.36. Systém CentOS 8 je dodávaný s Apache a OpenSSL, ktoré podporujú TLS 1.3 hneď po vybalení, takže nie je potrebné vytvárať vlastnú verziu.

Stiahnite si a nainštalujte najnovšiu verziu 2.4 Apache a jeho modul pre SSL cez yumsprávcu balíkov.

sudo yum install -y httpd mod_ssl

Skontrolujte verziu.

sudo httpd -v
# Server version: Apache/2.4.37 (centos)
# Server built:   Jul  30 2019 19:56:12

Spustite a povoľte Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Nakonfigurujte Apache pre TLS 1.3

Teraz, keď sme úspešne nainštalovali Apache, sme pripravení ho nakonfigurovať tak, aby začal používať TLS 1.3 na našom serveri.

Spustite sudo vim /etc/httpd/conf.d/example.com.confa naplňte súbor nasledujúcou základnou konfiguráciou.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Uložte súbor a ukončite s :+ W+ Q.

Skontrolujte konfiguráciu.

sudo apachectl configtest

Znova načítajte Apache, aby ste aktivovali novú konfiguráciu.

sudo systemctl reload httpd.service

Otvorte svoju stránku prostredníctvom protokolu HTTPS vo webovom prehliadači. Na overenie TLS 1.3 môžete použiť nástroje pre vývojárov prehliadača alebo službu SSL Labs. Snímky obrazovky nižšie zobrazujú kartu zabezpečenia prehliadača Chrome s protokolom TLS 1.3 v akcii.

Úspešne ste povolili TLS 1.3 v Apache na svojom serveri CentOS 8. Finálna verzia TLS 1.3 bola definovaná v auguste 2018, takže nie je lepší čas na začatie prijímania tejto novej technológie.