Quelqu'un sait-il pourquoi je ne peux pas désactiver tls 1.0 et tls1.1 en mettant à jour la configuration.
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 Après avoir fait cela, j'ai rechargé apache. J'ai fait un scan ssl en utilisant ssllabs ou comodo ssl tool, et il dit toujours que tls 1.1 et 1.0 sont supportés. J'aimerais les supprimer ?
Lorsque vous avez plusieurs hôtes virtuels TLS et que vous utilisez l'indication de nom de serveur (SNI), il est permis d'avoir une syntaxe de type SSLProtocol pour chaque VirtualHost, mais à moins que vous n'ayez des VirtualHosts IP en pratique, les paramètres de la première occurrence de la directive SSLProtocol sont utilisées pour l'ensemble du serveur et/ou todos Serveurs virtuels basés sur des noms et supportant TLS 1 .
Vérifiez donc vos principaux httpd.conf (et tous les extraits inclus, par exemple dans conf.d/*.conf et autres inclusions similaires) pour plus d'occurrences de l'expression SSLProtocol directive.
Votre syntaxe est correcte, bien que je sois d'accord avec Réponse d'ezra-s que, lorsque vous élargissez le all vous pouvez légèrement l'améliorer :
SSLProtocol +SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2 -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 en utilisant simplement :
SSLProtocol TLSv1.2
Que vous avez spécifié est suffisant, il ne devrait pas afficher d'autres protocoles. N'oubliez pas que SSLLABS met en cache les tests récents. Même si le fait de savoir qu'il n'y a pas d'autres protocoles en le définissant comme vous l'avez fait est un peu alambiqué à dessein.
Dans tous les cas, vous pouvez utiliser cela ou simplement :
SSLProtocol TLSv1.2
Je me débattais également avec ce problème, en modifiant les configurations avec l'option SSLProtocol ne fonctionnait pas. J'ai fini par ajouter ce qui suit à la configuration de mon hôte virtuel :
SSLOpenSSLConfCmd Protocol "-ALL, TLSv1.2"Ce qui a parfaitement fonctionné. Pour en savoir plus sur la SSLOpenSSLConfCmd directive aquí .
Désactiver la version TLS1.0 dans Apache.
Si vous avez plusieurs hébergements virtuels, vous devez mettre à jour tous les fichiers de configuration, sinon, ssl.conf suffit.
Pour vérifier la version supportée par TSL :
# nmap --script ssl-enum-ciphers -p 443 192.168.11.10 | grep TLSv
| TLSv1.0:
| TLSv1.1:
| TLSv1.2:Modifier le fichier de configuration d'Apache vi /etc/httpd/conf.d/web.conf supprimer tout TLS et n'autoriser que TLS1.2.
SSLProtocol TLSv1.2Valider après la modification.
# grep SSLProtocol /etc/httpd/conf.d/web.conf
SSLProtocol TLSv1.2
# nmap --script ssl-enum-ciphers -p 443 192.168.11.10 | grep TLSv
| TLSv1.2:
# service httpd restart
SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.
