Ako povoliť TLS 1.3 v Apache na FreeBSD 12

TLS 1.3 je verzia protokolu Transport Layer Security (TLS), ktorý bol publikovaný v roku 2018 ako navrhovaný štandard v RFC 8446 . Oproti svojim predchodcom ponúka vylepšenia zabezpečenia a výkonu.

Táto príručka ukáže, ako povoliť TLS 1.3 pomocou webového servera Apache na FreeBSD 12.

Požiadavky

• Inštancia Vultr Cloud Compute (VC2) so systémom FreeBSD 12.
• Platný názov domény a správne nakonfigurované A/ AAAA/ CNAMEDNS záznamy pre vašu doménu.
• Platný certifikát TLS. Jeden dostaneme z Let's Encrypt.
• Verzia Apache 2.4.36alebo vyššia.
• Verzia OpenSSL 1.1.1alebo vyššia.

Predtým ako začneš

Skontrolujte verziu FreeBSD.

uname -ro
# FreeBSD 12.0-RELEASE

Uistite sa, že váš systém FreeBSD je aktuálny.

freebsd-update fetch install
pkg update && pkg upgrade -y

Nainštalujte potrebné balíky, ak sa nenachádzajú vo vašom systéme.

pkg install -y sudo vim unzip wget bash socat git

Vytvorte si nový používateľský účet s preferovaným používateľským menom (použijeme johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Spustite visudopríkaz a odkomentujte %wheel ALL=(ALL) ALLriadok, aby členovia wheelskupiny mohli vykonať ľubovoľný príkaz.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Teraz prejdite na svojho novo vytvoreného používateľa pomocou su.

su - johndoe

POZNÁMKA: Nahraďte johndoesvojim užívateľským menom.

Nastavte časové pásmo.

sudo tzsetup

Nainštalujte acme.shklienta a získajte certifikát TLS od spoločnosti Let's Encrypt

Nainštalujte acme.sh.

sudo pkg install -y acme.sh

Skontrolujte verziu.

acme.sh --version
# v2.7.9

Získajte certifikáty RSA a ECDSA pre svoju doménu.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

POZNÁMKA: Nahraďte example.comv príkazoch názvom vašej domény.

Vytvorte rozumné adresáre na ukladanie vašich certifikátov a kľúčov. Použijeme /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Nainštalujte a skopírujte certifikáty do /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Po spustení vyššie uvedených príkazov budú vaše certifikáty a kľúče na nasledujúcich miestach:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Nainštalujte Apache

Apache pridal podporu pre TLS 1.3 vo verzii 2.4.36. Systém FreeBSD 12 sa dodáva s Apache a OpenSSL, ktoré podporujú TLS 1.3 hneď po vybalení, takže nie je potrebné vytvárať vlastnú verziu.

Stiahnite si a nainštalujte najnovšiu vetvu 2.4 Apache cez pkgsprávcu balíkov.

sudo pkg install -y apache24

Skontrolujte verziu.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Spustite a povoľte Apache.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Nakonfigurujte Apache pre TLS 1.3

Teraz, keď sme úspešne nainštalovali Apache, sme pripravení ho nakonfigurovať tak, aby začal používať TLS 1.3 na našom serveri.

POZNÁMKA: Vo FreeBSD je mod_sslmodul štandardne povolený v balíku aj v porte

Spustite sudo vim /usr/local/etc/apache24/httpd.confa zahrňte modul SSL zrušením komentára LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Spustite sudo vim /usr/local/etc/apache24/Includes/example.com.confa naplňte súbor nasledujúcou základnou konfiguráciou.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Uložte súbor a ukončite s :+ W+ Q.

Skontrolujte konfiguráciu.

sudo service apache24 configtest

Znova načítať Apache.

sudo service apache24 reload

Otvorte svoju stránku prostredníctvom protokolu HTTPS vo webovom prehliadači. Na overenie TLS 1.3 môžete použiť nástroje pre vývojárov prehliadača alebo službu SSL Labs. Snímky obrazovky nižšie zobrazujú kartu zabezpečenia prehliadača Chrome s protokolom TLS 1.3 v akcii.

Úspešne ste povolili TLS 1.3 v Apache na vašom serveri FreeBSD. Finálna verzia TLS 1.3 bola definovaná v auguste 2018, takže nie je lepší čas na začatie prijímania tejto novej technológie.