Tutorial: configurare SSL/TLS su AL2023

Connettersi all'istanza e confermare che Apache è in esecuzione. Per ulteriori informazioni, consulta Connessione a AL2 023 istanze.

[ec2-user ~]$ sudo systemctl is-enabled httpd

Se il valore restituito non è "enabled" ("abilitato), avviare Apache e configurarlo in modo che venga avviato all'avvio del sistema:

[ec2-user ~]$ sudo systemctl start httpd && sudo systemctl enable httpd

Per verificare che tutti i pacchetti software siano aggiornati, eseguire un aggiornamento rapido del software sull'istanza. Questo processo può richiedere alcuni minuti, ma è importante assicurarsi di disporre della versione più recente degli aggiornamenti della sicurezza e delle correzioni dei bug.

[ec2-user ~]$ sudo dnf install openssl mod_ssl

Dopo aver inserito il seguente comando, verrà indirizzato a un prompt in cui è possibile immettere le informazioni sul sito.

[ec2-user ~]$ sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/pki/tls/private/apache-selfsigned.key -out /etc/pki/tls/certs/apache-selfsigned.crt

Viene così generato il nuovo file apache-selfsigned.crt nella directory /etc/pki/tls/certs/. Il nome di file specificato corrisponde al file predefinito assegnato nella direttiva SSLCertificateFile in /etc/httpd/conf.d/ssl.conf

L'istanza dispone ora dei file seguenti, che serviranno per configurare il server sicuro e creare un certificato per il test:

Il file contiene sia un certificato autofirmato che la relativa chiave privata. Apache richiede che certificato e chiave siano entrambi in formato PEM, che è composto da caratteri ASCII con codifica Base64 racchiusi tra le righe "BEGIN" ed "END", come nell'esempio abbreviato riportato di seguito.

-----BEGIN PRIVATE KEY-----
MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQD2KKx/8Zk94m1q
3gQMZF9ZN66Ls19+3tHAgQ5Fpo9KJDhzLjOOCI8u1PTcGmAah5kEitCEc0wzmNeo
BCl0wYR6G0rGaKtK9Dn7CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vr
GvwnKoMh3DlK44D9dX7IDua2PlYx5+eroA+1Lqf32ZSaAO0bBIMIYTHigwbHMZoT
...
56tE7THvH7vOEf4/iUOsIrEzaMaJ0mqkmY1A70qQGQKBgBF3H1qNRNHuyMcPODFs
27hDzPDinrquSEvoZIggkDMlh2irTiipJ/GhkvTpoQlv0fK/VXw8vSgeaBuhwJvS
LXU9HvYq0U6O4FgD3nAyB9hI0BE13r1HjUvbjT7moH+RhnNz6eqqdscCS09VtRAo
4QQvAqOa8UheYeoXLdWcHaLP
-----END PRIVATE KEY-----                    

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t
MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK
DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV
bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy
...
z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0
CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vrGvwnKoMh3DlK44D9dlU3
WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak
3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg==
-----END CERTIFICATE-----

I nomi e le estensioni di file rappresentano una convenzione e non hanno alcuna ripercussione sulla funzionalità. Ad esempio è possibile denominare un certificato cert.crt, cert.pem o con qualsiasi altro nome di file, a condizione che la direttiva corrispondente nel file ssl.conf utilizzi lo stesso nome.

Riavviare Apache.

[ec2-user ~]$ sudo systemctl restart httpd

Il server Web Apache ora dovrebbe supportare HTTPS (HTTP protetto) sulla porta 443. Per eseguire il test, digitare l'indirizzo IP o il nome di dominio completo dell'istanza EC2 nella barra degli indirizzi URL di un browser con il prefisso https://.

Poiché ti stai connettendo a un sito con un certificato host autofirmato non attendibile, il browser potrebbe visualizzare una serie di avvisi di sicurezza. Ignorare gli avvisi e passare al sito.

Se la pagina predefinita di test di Apache viene visualizzata, significa che TLS è stato correttamente configurato sul server. Tutti i dati in transito tra il browser e il server ora sono crittografati.

Connettersi all'istanza e passare a /etc/pki/tls/private/. Si tratta della directory in cui viene memorizzata la chiave privata del server per TLS. Se preferisci utilizzare una chiave host esistente per generare la CSR, passa alla Fase 3. Per ulteriori informazioni sulla connessione alla tua istanza, consulta Connessione a AL2 023 istanze

(Opzionale) Generare una nuova chiave privata. Di seguito sono riportate alcune configurazioni di chiave di esempio. Qualsiasi chiave risultante funziona con il server Web, ma il livello e il tipo di sicurezza implementati possono variare.

Verifica che la nuova chiave privata disponga di titolarità e autorizzazioni altamente restrittivi (owner=root, group=root, read/write solo per il proprietario). Il comando è come mostrato nell'esempio seguente.

[ec2-user ~]$ sudo chown root:root custom.key
[ec2-user ~]$ sudo chmod 600 custom.key
[ec2-user ~]$ ls -al custom.key

I comandi precedenti restituiscono il seguente risultato:

-rw------- root root custom.key

Dopo aver creato e configurato una chiave affidabile, puoi creare una CSR.

Creare una CSR utilizzando la chiave preferita. Nell'esempio seguente viene utilizzato custom.key.

[ec2-user ~]$ sudo openssl req -new -key custom.key -out csr.pem

OpenSSL visualizza una finestra di dialogo e richiede l'immissione delle informazioni riportate nella seguente tabella. Tutti i campi, tranne Common Name (Nome comune), sono facoltativi per un certificato host di base convalidato a livello di dominio.

Infine, OpenSSL richiede l'immissione di una password di verifica opzionale. Questa password è valida solo per la CSR e per le transazioni tra te e la CA. Pertanto, attieniti alle raccomandazioni della CA in merito alla definizione di questo tipo di password e all'altro campo facoltativo, ovvero il nome azienda facoltativo. La password di verifica associata alla CSR non ha alcuna ripercussione sulla funzionalità del server.

Il file csr.pem risultante contiene la chiave pubblica, la firma digitale della chiave pubblica e i metadati immessi.

Inviare la CSR a una CA. In genere, questa operazione prevede l'apertura del file CSR in un editor di testo e la copia del contenuto in un modulo Web. In questa fase, ti potrebbe venire richiesto di fornire uno o più nomi alternativi di oggetto (SAN) da inserire nel certificato. Se www.example.com è il nome comune, example.com potrebbe essere un nome alternativo di oggetto (SAN) valido e viceversa. Un visitatore del sito che immettesse uno di questi due nomi avrebbe accesso a una connessione priva di errori. Se il modulo Web della CA lo consente, includi il nome comune nell'elenco di SAN. Alcuni CA lo includono automaticamente.

Dopo l'approvazione della richiesta, riceverai un nuovo certificato host firmato dalla CA. Ti potrebbe inoltre venire richiesto di scaricare un file di certificato intermedio contenente i certificati aggiuntivi necessari per completare la catena di attendibilità della CA.

- - - - -BEGIN CERTIFICATE - - - - - 

- - - -END CERTIFICATE - - - - -

[ec2-user certs]$ openssl x509 -in certificate.crt -text

Posizionare il nuovo certificato firmato dalla CA ed eventuali certificati intermedi nella directory /etc/pki/tls/certs.

Dall'interno della /etc/pki/tls/certs directory, verifica che le impostazioni di proprietà, gruppo e autorizzazione del file corrispondano ai valori predefiniti altamente restrittivi di AL2023 (owner=root, group=root, read/write for owner only). L'esempio seguente mostra i comandi da utilizzare.

[ec2-user certs]$ sudo chown root:root custom.crt
[ec2-user certs]$ sudo chmod 600 custom.crt
[ec2-user certs]$ ls -al custom.crt

Questi comandi dovrebbero restituire il seguente risultato.

-rw------- root root custom.crt

Le autorizzazioni del file del certificato intermedio sono meno rigide (owner=root, group=root, il proprietario può scrivere, il gruppo può leggere, tutti gli utenti possono leggere). L'esempio seguente mostra i comandi da utilizzare.

[ec2-user certs]$ sudo chown root:root intermediate.crt
[ec2-user certs]$ sudo chmod 644 intermediate.crt
[ec2-user certs]$ ls -al intermediate.crt

Questi comandi dovrebbero restituire il seguente risultato.

-rw-r--r-- root root intermediate.crt

Posizionare la chiave privata utilizzata per creare la CRS nella directory /etc/pki/tls/private/.

Dall'interno della /etc/pki/tls/private directory, utilizzate i seguenti comandi per verificare che le impostazioni di proprietà, gruppo e autorizzazione dei file corrispondano ai valori predefiniti altamente restrittivi di AL2023 (owner=root, group=root, read/write for owner only).

[ec2-user private]$ sudo chown root:root custom.key
[ec2-user private]$ sudo chmod 600 custom.key
[ec2-user private]$ ls -al custom.key

Questi comandi dovrebbero restituire il seguente risultato.

-rw------- root root custom.key

Modificare /etc/httpd/conf.d/ssl.conf per riflettere i nuovi file del certificato e della chiave.

1. Indicare il percorso e il nome del file del certificato host firmato dalla CA nella direttiva SSLCertificateFile di Apache:

   SSLCertificateFile /etc/pki/tls/certs/custom.crt

2. In caso di ricezione di un file del certificato intermedio (intermediate.crt in questo esempio), specificare il relativo percorso e nome di file utilizzando la direttiva SSLCACertificateFile di Apache:

   SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

   Nota

   Alcune CA combinano il certificato host e i certificati intermedi in un unico file, rendendo inutile la direttiva SSLCACertificateFile. Consultare le istruzioni fornite dalla CA.

3. Specificare il percorso e il nome del file della chiave privata (custom.key in questo esempio) nella direttiva SSLCertificateKeyFile di Apache:

   SSLCertificateKeyFile /etc/pki/tls/private/custom.key

Salvare /etc/httpd/conf.d/ssl.conf e riavviare Apache.

[ec2-user ~]$ sudo systemctl restart httpd

Testare il server digitando il nome del dominio nella barra dell'URL di un browser con il prefisso https://. Il browser deve caricare la pagina di test su HTTPS senza errori.

Aprire il file di configurazione /etc/httpd/conf.d/ssl.conf in un editor di testo e commentare la seguente riga inserendo il carattere "#" all'inizio:

#SSLProtocol all -SSLv3

Aggiungere la seguente direttiva:

#SSLProtocol all -SSLv3
SSLProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2

Questa direttiva disabilita in modo esplicito SSL versioni 2 e 3, nonché TLS versioni 1.0 e 1.1. Il server ora non accetta più connessioni crittografate con client che utilizzano crittografie diverse da TLS 1.2. Le descrizioni dettagliate della direttiva illustrano più chiaramente al lettore la tipologia di configurazione impostata per il server.

Nel file di configurazione /etc/httpd/conf.d/ssl.conf, individuare la sezione con la direttiva SSLCipherSuite e commentare la riga esistente inserendo il carattere "#" all'inizio.

#SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5

Specificare suite di crittografia esplicite e un ordine di crittografia che dia priorità alla funzione Forward Secrecy e che eviti crittografie non sicure. La direttiva SSLCipherSuite qui utilizzata si basa su un output del generatore di configurazioni SSL di Mozilla, che personalizza una configurazione TLS in funzione del software specifico in esecuzione sul server (per ulteriori informazioni, vedere l'utile risorsa sulla sicurezza/TLS lato server di Mozilla). Per prima cosa determinare le versioni di Apache e OpenSSL in base all'output dei seguenti comandi.

[ec2-user ~]$ yum list installed | grep httpd

[ec2-user ~]$ yum list installed | grep openssl

Ad esempio, se l'informazione restituita è Apache 2.4.34 e OpenSSL 1.0.2, inserirla nel generatore. Scegliere poi il modello di compatibilità “moderna”, che crea una direttiva SSLCipherSuite e applica in modo rigido la sicurezza ma che funziona per la maggior parte dei browser. Se il software non supporta la configurazione moderna, è possibile aggiornarlo o scegliere la configurazione “intermedia”.

SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:
ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256

Le crittografie selezionate includono nel proprio nome l'acronimo ECDHE (, abbreviazione di Elliptic Curve Diffie-Hellman Ephemeral). Il termine effimero fa riferimento alla proprietà Forward Secrecy. Come effetto secondario, queste crittografie non supportano RC4.

È consigliabile utilizzare un elenco esplicito di crittografie anziché utilizzare le impostazioni predefinite o le direttive concise il cui contenuto non è visibile.

Copiare la direttiva generata in /etc/httpd/conf.d/ssl.conf.

Rimuovere infine i commenti mediante la rimozione del carattere "#" dall'inizio della riga:

#SSLHonorCipherOrder on

Questa direttiva obbliga il server a preferire crittografie con classificazione più elevata, comprese (in questo caso) quelle che supportano la proprietà Forward Secrecy. Con questa direttiva abilitata, il server cerca di stabilire una connessione stabile e affidabile prima di ripiegare sulle crittografie consentite con un livello inferiore di sicurezza.