Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

--- lpi2:apache-ssl [2018/04/10 21:51] – Externe Bearbeitung 127.0.0.1
+++ lpi2:apache-ssl [2026/03/20 15:18] (aktuell) – Externe Bearbeitung 127.0.0.1
@@ Zeile 1: / Zeile 1: @@
-Todo: https://weakdh.org/sysadmin.html cipher list intregrieren ((
+Todo: https://ssl-config.mozilla.org/ benutzen
-<file>
-SSLProtocol             all -SSLv2 -SSLv3
-SSLCipherSuite          ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA
+Alternativ: [[mod_md]]
-SSLHonorCipherOrder     on
+====== SSL / TLS für Apache httpd ======
-</file>
-))
-====== SSL / TLS für Apache ======
 ===== Vorraussetzungen =====
   * [[apache]] installiert
   * [[ssl| SSL Zertifikat]] und Diffie-Hellman Parameter-Datei erstellt
-  * Korrektes [[bind|DNS]] evtl. inkl. CAA Record
+  * Korrektes [[bind|DNS]] evtl. inkl.  [[wpde>HTTPS_Resource_Record|HTTPS RR]] und [[WPDE>DNS_Certification_Authority_Authorization|CAA RR]]
   * Korrekte [[zeitserver|Uhrzeiten]] auf allen Rechnern
 ==== CAA Record ====
-CAA Records funktionieren mit bind erst ab Version [[https://kb.isc.org/article/AA-01210/0/BIND-9.9.6-Release-Notes.html|9.9.6]]
+Falls auf der Domain [[WPDE>DNS_Certification_Authority_Authorization|CAA]] Einträge hinterlegt sind, entweder die aktuelle CA ergänzen oder die Einträge entfernen:
+  dig CAA linuxhotel.de @141.1.1.1
 für Wildcard Zertifikate:
 <file>
-example.com.  CAA 0 issue "cacert.org"
+example.com. 0 IN CAA 0 issue "cacert.org"
-example.com.  CAA 0 issuewild "cacert.org"
+example.com. 0 IN CAA 0 issuewild "cacert.org"
-example.com.  CAA 0 issue "letsencrypt.org"
+example.com. 0 IN CAA 0 issue "letsencrypt.org"
-example.com.  CAA 0 issuewild "letsencrypt.org"
+example.com. 0 IN CAA 0 issuewild "letsencrypt.org"
 </file>
+==== HTTPS Record ====
+optional: [[wpde>HTTPS_Resource_Record|HTTPS RR]] im DNS eintragen:
+<file>
+www.example.com. HTTPS 9 .
+</file>
 ===== Zertifikate, Anträge und Schlüssel an die passenden Stellen kopieren =====
-==== Debian ab 6.0 ====
+==== Debian (ab 8.0) ====
   cd /etc/ssl
   cp /root/server-ssl/servercert.pem certs/
   cp /root/server-ssl/serverkey.pem  private/
   cp /home/ca/ca*/cacert.pem  certs/
-  cp /home/ca/ca*/cacert.pem /var/www/cacert.crt
-Debian 8.0:
   cp /home/ca/ca*/cacert.pem /var/www/html/cacert.crt
@@ Zeile 51: / Zeile 52: @@
   cp /root/server-ssl/serverkey.pem  private/server.key
+===== mit OpenSSL s_server testen ======
+  cd /etc/ssl
+  sudo -u www-data -g ssl openssl s_server -cert certs/servercert.pem -key private/serverkey.pem -www
+  firefox https://localhost:4433
+  sudo -u www-data -g ssl openssl s_server -cert certs/servercert.pem -key private/serverkey.pem -WWW
+  firefox https://localhost:4433/certs/cacert.pem
+TODO: noch nicht getestet:
+  sslscan notebook05.linuxhotel.de
+  testssl.sh  notebook05.linuxhotel.de
+Sicherheit überwachen lassen: https://siwecos.de/
 ===== Apache konfigurieren =====
 ==== SuSE ====
@@ Zeile 137: / Zeile 152: @@
 Dienst neu starten:
-  /etc/init.d/apache2 restart
+  service apache2 restart
 ==== CentOS 5 ====