Ключевые слова конфигурации Apache / OpenSSL SSLProtocol против SSLCipherSuite

Содержание

Вопрос или проблема
Ответ или решение
Разница между SSLProtocol и SSLCipherSuite
Использование обоих параметров
Список шифров: индивидуальный или общий?
Заключение

Вопрос или проблема

Согласно документации Apache, я могу настроить набор шифров с помощью (в числе прочего) двух различных ключевых слов, и примеры в Интернете часто используют оба (но не обязательно идентичные приведенному ниже примеру).

В чем разница между SSLProtocol и SSLCipherSuite, следует ли использовать их отдельно или оба?

SSLProtocol all -SSLv2 -SSLv3
SSLCipherSuite ALL:!SSLv2:!SSLv3

Или лучше перечислить отдельные шифры для SSLCipherSuite?

SSLCipherSuite ECDHE-RSA-RC4-SHA:ECDHE-RSA-AES128-SHA:AES128-SHA:RC4-SHA ...

Являются ли оба ключевых слова принципиально различными по тому, что они настраивают? У меня возникло чувство, что я упускаю что-то важное.

Приведенные выше конфигурации не обязательно являются хорошей практикой, они просто пример, чтобы объяснить моё сомнение.

SSLProtocol настраивает, какие протоколы (SSL или TLS) и какие специфические версии этих протоколов будут разрешены.

Например, это:

SSLProtocol all -SSLv2 -SSLv3

означает включить все поддерживаемые протоколы, кроме SSLv2 и SSLv3.

SSLCipherSuite настраивает, какие наборы шифров могут использоваться. Каждый из протоколов поддерживает разные пересекающиеся наборы шифров; с помощью этого вы можете применить точную настройку того, какие именно шифры вы хотите разрешить.

В дополнение к указанию списков отдельных шифров, вы также можете использовать псевдонимы, такие как SSLv3 (что означает все шифры, разрешенные протоколом SSLv3) или TLSv1 (все шифры, разрешенные протоколом TLSv1).

Если вы хотите контролировать, какие протоколы поддерживаются, вам следует использовать SSLProtocols, потому что это прямо указывает, что указанные протоколы не будут разрешены, вместо того чтобы полагаться на блокировку использования всех шифров, которые разрешают протоколы.

Ответ или решение

Вопрос конфигурации Apache и OpenSSL, касающийся ключевых слов SSLProtocol и SSLCipherSuite, является важным аспектом при обеспечении безопасности веб-серверов. Оба параметра играют критическую роль в определении, какие протоколы и шифры будут использоваться при установлении защищенных соединений, однако они выполняют разные функции.

Разница между `SSLProtocol` и `SSLCipherSuite`

SSLProtocol:
- Этот параметр управляет тем, какие протоколы и версии протоколов SSL и TLS разрешены для использования. Например, запись:
```
SSLProtocol all -SSLv2 -SSLv3
```
  означает, что все поддерживаемые протоколы разрешены, за исключением SSLv2 и SSLv3.
- Зачем это нужно? Это важный шаг для обеспечения безопасности, так как старые версии протоколов, такие как SSLv2 и SSLv3, содержат известные уязвимости и уязвимости, которые могут быть эксплуатированы злоумышленниками. Управление версиями протоколов помогает минимизировать риски.
SSLCipherSuite:
- Этот параметр настраивает, какие конкретные шифры могут использоваться в рамках разрешенных протоколов. Например:
```
SSLCipherSuite ALL:!SSLv2:!SSLv3
```
  устанавливает разрешенные шифры, исключая те, которые могут использовать SSLv2 и SSLv3.
- Контроль шифров: Используя SSLCipherSuite, вы можете детально управлять набором шифров, которые будут использоваться, что позволяет использовать более безопасные и производительные алгоритмы при необходимости. Вы можете указать конкретные шифры или использовать заранее заданные группы шифров.

Использование обоих параметров

Рекомендуется использовать оба параметра параллельно для достижения наилучшей конфигурации безопасности. Вот почему:

Сначала определите протоколы: Установка SSLProtocol помогает вам контролировать, какие версии протоколов могут вмешиваться в процесс шифрования. Это превращает ваш сервер в более безопасный путем исключения уязвимых версий протоколов.
Затем установите шифры: После того как вы определили безопасные протоколы, вы можете детально настроить, какие именно шифры они будут использовать. Это позволяет не только повысить уровень безопасности, но и оптимизировать производительность, выбирая наиболее эффективные шифры.

Список шифров: индивидуальный или общий?

С точки зрения безопасности, рекомендуется использовать более строгие настройки шифров. Основным подходом будет следующее:

Использование индивидуальных шифров: Создание списка конкретных шифров для SSLCipherSuite дает вам полный контроль над тем, что используется в вашем окружении. Например:
```
SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:AES128-GCM-SHA256:... 
```
Этот подход может повысить как безопасность, так и производительность.
Осторожность с обобщением: Использование общих настроек, таких как ALL, может привести к включению устаревших или небезопасных шифров, даже если вы ограничиваете использование протоколов. Поэтому важно быть внимательным и регулярно обновлять список шифров в соответствии с текущими стандартами и рекомендациями безопасности.

Заключение

В заключение, использование SSLProtocol и SSLCipherSuite в Apache / OpenSSL является важной частью конфигурации сервера для обеспечения безопасных соединений. Правильное использование этих параметров позволяет не только исключить уязвимые протоколы, но и контролировать, какие шифры могут быть использованы, тем самым минимизируя риски и увеличивая уровень безопасности сервера. Поэтому рекомендуется использовать оба параметра в соответствии с современными стандартами безопасности.