Tutoriel : ConfigurerSSL//TLSsur AL2 023

Connectez-vous à votre instance et confirmez qu’Apache est en cours d’exécution. Pour de plus amples informations, veuillez consulter Connexion à AL2 023 instances.

[ec2-user ~]$ sudo systemctl is-enabled httpd

Si la valeur renvoyée n’est pas « activé », démarrez Apache et configurez-le pour qu’il démarre à chaque amorçage du système.

[ec2-user ~]$ sudo systemctl start httpd && sudo systemctl enable httpd

Pour vous assurer que tous vos packages logiciels sont mis à jour, effectuez une mise à jour logicielle rapide sur votre instance. Ce processus peut prendre quelques minutes, mais il est important pour vous assurer que vous disposez des dernières mises à jour de sécurité et des nouveaux correctifs de bogues.

[ec2-user ~]$ sudo dnf install openssl mod_ssl

Une fois que vous avez saisi la commande suivante, vous êtes redirigé vers une invite où vous pouvez saisir des informations sur votre site.

[ec2-user ~]$ sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/pki/tls/private/apache-selfsigned.key -out /etc/pki/tls/certs/apache-selfsigned.crt

Cela génère un nouveau fichier apache-selfsigned.crt dans le répertoire /etc/pki/tls/certs/. Le nom de fichier spécifié correspond au nom par défaut attribué dans la directive SSLCertificateFile dans /etc/httpd/conf.d/ssl.conf.

Votre instance dispose désormais des fichiers suivants que vous utilisez pour configurer votre serveur sécurisé et créer un certificat pour les tests :

Ce fichier contient un certificat auto-signé et la clé privée du certificat. Apache exige que le certificat et la clé soient au PEM format, composé de ASCII caractères codés en Base64 encadrés par des lignes BEGIN « » et END « », comme dans l'exemple abrégé suivant.

-----BEGIN PRIVATE KEY-----
MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQD2KKx/8Zk94m1q
3gQMZF9ZN66Ls19+3tHAgQ5Fpo9KJDhzLjOOCI8u1PTcGmAah5kEitCEc0wzmNeo
BCl0wYR6G0rGaKtK9Dn7CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vr
GvwnKoMh3DlK44D9dX7IDua2PlYx5+eroA+1Lqf32ZSaAO0bBIMIYTHigwbHMZoT
...
56tE7THvH7vOEf4/iUOsIrEzaMaJ0mqkmY1A70qQGQKBgBF3H1qNRNHuyMcPODFs
27hDzPDinrquSEvoZIggkDMlh2irTiipJ/GhkvTpoQlv0fK/VXw8vSgeaBuhwJvS
LXU9HvYq0U6O4FgD3nAyB9hI0BE13r1HjUvbjT7moH+RhnNz6eqqdscCS09VtRAo
4QQvAqOa8UheYeoXLdWcHaLP
-----END PRIVATE KEY-----                    

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t
MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK
DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV
bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy
...
z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0
CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vrGvwnKoMh3DlK44D9dlU3
WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak
3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg==
-----END CERTIFICATE-----

Les noms et extensions de fichiers sont fournis à titre indicatif et n’ont aucun effet sur la fonction. Par exemple, vous pouvez appeler un certificat cert.crt, cert.pem, ou tout autre nom de fichier dans la mesure où la directive associée dans le fichier ssl.conf utilise le même nom.

Redémarrez Apache.

[ec2-user ~]$ sudo systemctl restart httpd

Votre serveur Web Apache devrait désormais prendre en charge HTTPS (sécuriséHTTP) le port 443. Testez-le en saisissant l'adresse IP ou le nom de domaine complet de votre EC2 instance dans une URL barre de navigateur avec le préfixehttps://.

Étant donné que vous vous connectez à un site avec un certificat d’hôte auto-signé non approuvé, il se peut que votre navigateur affiche une série d’avertissements de sécurité. Ignorez-les et poursuivez sur le site.

Si la page de test Apache par défaut s'ouvre, cela signifie que vous avez correctement configuré TLS votre serveur. Toutes les données transmises entre le navigateur et le serveur sont maintenant chiffrées.

Connectez-vous à votre instance et naviguez sur to /etc/pki/tls/private /. Il s'agit du répertoire dans lequel vous stockez la clé privée du serveurTLS. Si vous préférez utiliser une clé d'hôte existante pour générer leCSR, passez à l'étape 3. Pour plus d'informations sur la connexion à votre instance, voir Connexion à AL2 023 instances

(Facultatif) Générez une nouvelle clé privée. Voici quelques exemples de configurations de clés. Toutes les clés obtenues fonctionnent avec votre serveur web, mais elles diffèrent dans le degré et le type de sécurité qu’elles mettent en œuvre.

Assurez-vous que la nouvelle clé privée possède un critère de propriété et d’autorisations très restrictif (propriétaire=racine, groupe=racine, lecture/écriture pour propriétaire uniquement). Les commandes seraient similaires à celles illustrées dans l’exemple suivant.

[ec2-user ~]$ sudo chown root:root custom.key
[ec2-user ~]$ sudo chmod 600 custom.key
[ec2-user ~]$ ls -al custom.key

Les commandes ci-avant produisent le résultat suivant.

-rw------- root root custom.key

Après avoir créé et configuré une clé satisfaisante, vous pouvez créer uneCSR.

Créez un CSR en utilisant votre clé préférée. L’exemple suivant utilise custom.key.

[ec2-user ~]$ sudo openssl req -new -key custom.key -out csr.pem

Ouvrir SSL ouvre une boîte de dialogue et vous invite à saisir les informations indiquées dans le tableau suivant. Tous les champs à l’exception de Common Name sont facultatifs pour un certificat d’hôte basique avec validation de domaine.

Enfin, Open vous SSL invite à saisir un mot de passe de défi facultatif. Ce mot de passe s'applique uniquement aux transactions entre vous CSR et votre autorité de certification. Suivez donc les recommandations de l'autorité de certification à ce sujet et concernant l'autre champ facultatif, le nom de l'entreprise facultatif. Le mot de passe de CSR défi n'a aucun effet sur le fonctionnement du serveur.

Le fichier obtenu csr.pem contient votre clé publique, la signature numérique de votre clé publique et les métadonnées que vous avez saisies.

Soumettez-les CSR à une autorité de certification. Cela consiste généralement à ouvrir votre CSR fichier dans un éditeur de texte et à en copier le contenu dans un formulaire Web. À ce stade, il peut vous être demandé de fournir un ou plusieurs noms alternatifs de sujet (SANs) à placer sur le certificat. Si www.example.com c'est le nom courant, alors example.com ce serait bienSAN, et vice versa. Un visiteur de votre site qui saisit l’un de ces noms devrait bénéficier d’une connexion sans erreur. Si votre formulaire Web CA le permet, incluez le nom commun dans la liste desSANs. Certains l'CAsincluent automatiquement.

Une fois que votre demande a été approuvée, vous recevrez un nouveau certificat d’hôte signé par l’autorité de certification. Il se peut que l’on vous demande également de télécharger un fichier de certificat intermédiaire qui contient des certificats supplémentaires nécessaires pour compléter la chaîne de confiance de l’autorité de certification.

- - - - -BEGIN CERTIFICATE - - - - - 

- - - -END CERTIFICATE - - - - -

[ec2-user certs]$ openssl x509 -in certificate.crt -text

Placez le nouveau certificat signé par une CA et les certificats intermédiaires dans le répertoire /etc/pki/tls/certs.

Depuis le /etc/pki/tls/certs répertoire, vérifiez que les paramètres de propriété, de groupe et d'autorisation du fichier correspondent aux valeurs par défaut très restrictives AL2 023 (owner=root, group=root, lecture/écriture pour le propriétaire uniquement). L’exemple suivant illustre les commandes à utiliser.

[ec2-user certs]$ sudo chown root:root custom.crt
[ec2-user certs]$ sudo chmod 600 custom.crt
[ec2-user certs]$ ls -al custom.crt

Ces commandes devraient générer le résultat suivant.

-rw------- root root custom.crt

Les autorisations pour le fichier de certificat intermédiaire sont moins contraignantes (propriétaire=racine, groupe=racine, le propriétaire peut écrire, le groupe peut lire, tout le monde peut lire). L’exemple suivant illustre les commandes à utiliser.

[ec2-user certs]$ sudo chown root:root intermediate.crt
[ec2-user certs]$ sudo chmod 644 intermediate.crt
[ec2-user certs]$ ls -al intermediate.crt

Ces commandes devraient générer le résultat suivant.

-rw-r--r-- root root intermediate.crt

Placez la clé privée que vous avez utilisée pour la créer CSR dans le /etc/pki/tls/private/ répertoire.

Depuis le /etc/pki/tls/private répertoire, utilisez les commandes suivantes pour vérifier que les paramètres de propriété, de groupe et d'autorisation du fichier correspondent aux valeurs par défaut très restrictives AL2 023 (owner=root, group=root, read/write pour le propriétaire uniquement).

[ec2-user private]$ sudo chown root:root custom.key
[ec2-user private]$ sudo chmod 600 custom.key
[ec2-user private]$ ls -al custom.key

Ces commandes devraient générer le résultat suivant.

-rw------- root root custom.key

Modifiez /etc/httpd/conf.d/ssl.conf pour refléter les nouveaux fichiers de certificat et de clé.

1. Fournissez le chemin et le nom de fichier du certificat d’hôte signé par une CA dans la directive SSLCertificateFile d’Apache :

   SSLCertificateFile /etc/pki/tls/certs/custom.crt

2. Si vous avez reçu un fichier de certificat intermédiaire (intermediate.crt dans cet exemple), indiquez son nom correct de chemin et de fichier à l’aide de la directive SSLCACertificateFile d’Apache :

   SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

   Note

   Certains CAs combinent le certificat hôte et les certificats intermédiaires dans un seul fichier, ce qui rend la SSLCACertificateFile directive inutile. Consultez les instructions fournies par votre autorité de certification.

3. Fournissez le chemin et le nom de fichier de la clé privée (custom.key dans cet exemple) dans la directive SSLCertificateKeyFile d’Apache :

   SSLCertificateKeyFile /etc/pki/tls/private/custom.key

Enregistrez /etc/httpd/conf.d/ssl.conf et redémarrez Apache.

[ec2-user ~]$ sudo systemctl restart httpd

Testez votre serveur en saisissant votre nom de domaine dans une URL barre de navigateur avec le préfixehttps://. Votre navigateur devrait charger la page de test HTTPS sans générer d'erreurs.

Ouvrez le fichier de configuration /etc/httpd/conf.d/ssl.conf dans un éditeur de texte et mettez en commentaire la ligne suivante en saisissant « # » au début de la ligne.

#SSLProtocol all -SSLv3

Ajoutez la directive suivante :

#SSLProtocol all -SSLv3
SSLProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2

Cette directive désactive explicitement les SSL versions 2 et 3, ainsi que TLS les versions 1.0 et 1.1. Le serveur refuse désormais d'accepter les connexions chiffrées avec des clients utilisant autre chose que la TLS version 1.2. La formulation des commentaires dans la directive indique plus clairement, à un lecteur humain, ce pour quoi le serveur est configuré.

Dans le fichier de configuration /etc/httpd/conf.d/ssl.conf, recherchez la section avec la directive SSLCipherSuite et mettez en commentaire la ligne existante en saisissant « # » au début de la ligne.

#SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5

Spécifiez explicitement des suites de chiffrement et un ordre de chiffrement qui donnent la priorité à la confidentialité persistante et évitent les chiffrements peu sûrs. La SSLCipherSuite directive utilisée ici est basée sur les résultats du générateur de SSL configuration Mozilla, qui adapte une TLS configuration aux logiciels spécifiques exécutés sur votre serveur. Déterminez d'abord vos SSL versions d'Apache et d'Open en utilisant le résultat des commandes suivantes.

[ec2-user ~]$ yum list installed | grep httpd

[ec2-user ~]$ yum list installed | grep openssl

Par exemple, si les informations renvoyées sont Apache 2.4.34 et Open SSL 1.0.2, nous les saisissons dans le générateur. Si vous choisissez le modèle de compatibilité « moderne », il crée une directive SSLCipherSuite qui applique la sécurité de façon stricte, tout en étant compatible avec la plupart des navigateurs. Si votre logiciel ne prend pas en charge la configuration moderne, vous pouvez mettre à jour le logiciel ou choisir la configuration « intermédiaire ».

SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:
ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256

Les chiffrements sélectionnés ont ECDHEdans leur nom l'abréviation de Elliptic Curve Diffie-Hellman Ephemeral. Le terme ephemeral indique la confidentialité persistante. En tant que sous-produit, ces chiffrements ne sont pas compatibles. RC4

Nous vous recommandons d’utiliser une liste explicite de chiffrements au lieu de compter sur les valeurs par défaut ou les directives succinctes dont le contenu n’est pas visible.

Copiez la directive générée dans /etc/httpd/conf.d/ssl.conf.

En dernier lieu, supprimez la mise en commentaire de la ligne suivante en retirant le « # » au début de la ligne.

#SSLHonorCipherOrder on

Cette directive force le serveur à préférer les chiffrements de niveau élevé notamment (dans ce cas) ceux qui prennent en charge la confidentialité persistante. Avec cette directive activée, le serveur essaie d’établir une connexion très sécurisée avant d’avoir recours aux chiffrements autorisés dotés d’une sécurité moindre.