Wie kann ich TLS 1.0 und 1.1 in Apache deaktivieren?

Weiß jemand, warum ich tls 1.0 und tls1.1 nicht deaktivieren kann, indem ich die Konfiguration auf diese aktualisiere?

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 

Danach lade ich Apache neu. Ich führe einen SSL-Scan mit ssllabs oder comodo ssl tool durch und es heißt immer noch, dass tls 1.1 und 1.0 unterstützt werden. Ich möchte diese entfernen?

Wenn Sie über mehrere TLS VirtualHosts verfügen und die Server Name Indication (SNI) verwenden, ist es eine zulässige Syntax, SSLProtocol für jeden VirtualHost eine Direktive zu verwenden. Wenn Sie jedoch in der Praxis über IP VirtualHosts verfügen, werden die Einstellungen ab dem ersten Auftreten der SSLProtocolDirektive für den gesamten Server verwendet und / oder alle namensbasierten VirtualHosts, die TLS ^{1 unterstützen} .

Suchen Sie in Ihrem Hauptverzeichnis httpd.conf(und in allen enthaltenen Snippets, z. B. aus conf.d/*.confähnlichen Includes) nach weiteren Vorkommen der SSLProtocolDirektive.

Ihre Syntax ist korrekt, obwohl ich der Antwort von ezra-s zustimme , dass Sie beim Erweitern der allKurzschrift Folgendes leicht verbessern können:

 SSLProtocol +SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2 -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 

durch einfaches Verwenden von:

 SSLProtocol TLSv1.2

dass Sie angegeben haben, reicht aus, es sollten keine anderen Protokolle angezeigt werden. Denken Sie daran, dass SSLLABS die letzten Tests zwischenspeichert. Obwohl das Wissen, dass es keine anderen Protokolle gibt, die es so definieren wie Sie, absichtlich verworren ist.

In jedem Fall können Sie das verwenden oder einfach:

SSLProtocol TLSv1.2

Ich hatte auch mit diesem Problem zu kämpfen, da das Ändern von Konfigurationen mit der SSLProtocolDirektive nicht funktionierte. Am Ende habe ich meiner virtuellen Hostkonfiguration Folgendes hinzugefügt:

SSLOpenSSLConfCmd Protocol "-ALL, TLSv1.2"

Welches hat perfekt funktioniert. Sie können mehr über die lesen SSLOpenSSLConfCmdRichtlinie hier .

Deaktivieren Sie die TLS1.0-Version in Apache.

Wenn Sie über mehrere virtuelle Hosts verfügen, müssen Sie alle Konfigurationsdateien aktualisieren. Andernfalls ist ssl.conf ausreichend.

So überprüfen Sie die TSL-unterstützende Version:

# nmap --script ssl-enum-ciphers -p 443 192.168.11.10 | grep TLSv
|   TLSv1.0:
|   TLSv1.1:
|   TLSv1.2:

Ändern Sie die Apache-Konfigurationsdatei, vi /etc/httpd/conf.d/web.confentfernen Sie alle TLS und lassen Sie nur TLS1.2 zu.

SSLProtocol TLSv1.2

Nach der Änderung validieren.

# grep SSLProtocol /etc/httpd/conf.d/web.conf
SSLProtocol TLSv1.2

# nmap --script ssl-enum-ciphers -p 443 192.168.11.10 | grep TLSv
|   TLSv1.2:
# service httpd restart

Sie müssen den Apache-Dienst mit dem folgenden Befehl neu starten, um die Änderungen zu berücksichtigen.

sudo service apache2 restart

Der folgende Code funktioniert für mich einwandfrei. Weitere Informationen finden Sie in diesem Artikel unter https://karthikekblog.com/how-to-disable-enable-ssl-tls-protocols-in-ubentu-apache-linux-server/

<VirtualHost *:443>
ServerName www.yourdomain.com
DocumentRoot /var/www/html
SSLEngine on
SSLProtocol +TLSv1.2
SSLCertificateFile /etc/apache2/certificates/certificate.crt
SSLCertificateKeyFile /etc/apache2/certificates/certificate.key 
SSLCertificateChainFile /etc/apache2/certificates/intermediate.crt
</VirtualHost>