Comment désactiver les versions obsolètes de SSL/TLS dans Apache

Depuis le 30 juin 2018, pour la compatibilité PCI, les propriétaires de sites doivent refuser de prendre en charge TLS 1.0. Les protocoles TLS 1.0/1.1 et SSL 2.0/3.0 sont obsolètes. Ils n’offrent pas une protection suffisante pour le transfert de données. En particulier, TLS 1.0 est vulnérable à certaines attaques. Les versions ci-dessus des protocoles doivent être supprimées dans les environnements nécessitant un niveau de sécurité élevé.

Presque tous les navigateurs modernes prennent en charge TLS 1.2. Nous allons voir ci-dessous comment désactiver les versions TLS 1.0/1.1 et SSL 2.0/3.0 dans Apache.

1. Utiliser vi (ou vim) pour modifier ssl.conf (généralement situé dans /etc/httpd/conf.d).

2. Rechercher la section « SSL Protocol Support » :

# SSL Protocol support:

# List the enable protocol levels with which clients will be able to

# connect.  Disable SSLv2 access by default:

SSLProtocol all -SSLv2 -SSLv3

3. Mettre en commentaire la ligne « SSLProtocol all -SSLv2 -SSLv3 », en ajoutant le symbole dièse devant.

4. Ajouter une ligne en dessous :

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1

5. Nous avons désactivé TLS 1.0/1.1 et SSL 2.0/3.0, et étudions plus en détail SSL Cipher Suite.

# SSL Cipher Suite:

# List the ciphers that the client is permitted to negotiate.

# See the mod_ssl documentation for a complete list.

SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!IDEA

6. Mettre en commentaire la ligne « SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!IDEA » et ajouter ce qui suit en dessous :

SSLCipherSuite HIGH:!aNULL:!MD5:!3DES

Cette option garantit l’utilisation du chiffrement SSL uniquement avec un niveau de protection élevé.

Ajouter également la ligne suivante sous « SSLCipherSuite HIGH:!aNULL:!MD5:!3DES » :

SSLHonorCipherOrder on

Ce paramètre garantit que les préférences de chiffrement du serveur seront utilisées, et non les préférences du client.

Enregistrer le fichier et redémarrer Apache :

service httpd restart

Ensuite, tester toutes les applications qui interagissent avec votre serveur. Si vous rencontrez des problèmes, vous pouvez supprimer les commentaires (symbole dièse) et revenir à la version précédente du fichier.

Suivez les meilleures pratiques SSL avec LeaderTelecom !