教學課程：在 AL2023 上設定 SSL/TLS

連線至執行個體，並確認 Apache 正在執行。如需詳細資訊，請參閱 連線至 AL2023 執行個體。

[ec2-user ~]$ sudo systemctl is-enabled httpd

如果傳回的值不是 "enabled"，請啟動 Apache，並設定為每次系統開機時都啟動。

[ec2-user ~]$ sudo systemctl start httpd && sudo systemctl enable httpd

為確保所有軟體套件皆為最新版本，請對您的執行個體執行快速軟體更新。本程序可能需費時幾分鐘，但確定您擁有最新的安全更新和錯誤修正至關重要。

[ec2-user ~]$ sudo dnf install openssl mod_ssl

輸入以下命令後，您將看到一條提示，從中可以輸入有關網站的資訊。

[ec2-user ~]$ sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/pki/tls/private/apache-selfsigned.key -out /etc/pki/tls/certs/apache-selfsigned.crt

這會在 apache-selfsigned.crt 目錄中產生新檔案 /etc/pki/tls/certs/。指定的檔案名稱符合 SSLCertificateFile 中的 /etc/httpd/conf.d/ssl.conf 指示詞所指派的預設值。

您的執行個體現在有下列檔案，供您用來設定安全伺服器和建立用於測試的憑證：

此檔案包含自我簽署憑證和憑證的私有金鑰。Apache 規定憑證和金鑰必須是 PEM 格式，此格式由 "BEGIN" 和 "END" 行所框住的 Base64 編碼 ASCII 字元構成，如下方的憑證縮寫範例所示。

-----BEGIN PRIVATE KEY-----
MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQD2KKx/8Zk94m1q
3gQMZF9ZN66Ls19+3tHAgQ5Fpo9KJDhzLjOOCI8u1PTcGmAah5kEitCEc0wzmNeo
BCl0wYR6G0rGaKtK9Dn7CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vr
GvwnKoMh3DlK44D9dX7IDua2PlYx5+eroA+1Lqf32ZSaAO0bBIMIYTHigwbHMZoT
...
56tE7THvH7vOEf4/iUOsIrEzaMaJ0mqkmY1A70qQGQKBgBF3H1qNRNHuyMcPODFs
27hDzPDinrquSEvoZIggkDMlh2irTiipJ/GhkvTpoQlv0fK/VXw8vSgeaBuhwJvS
LXU9HvYq0U6O4FgD3nAyB9hI0BE13r1HjUvbjT7moH+RhnNz6eqqdscCS09VtRAo
4QQvAqOa8UheYeoXLdWcHaLP
-----END PRIVATE KEY-----                    

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t
MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK
DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV
bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy
...
z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0
CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vrGvwnKoMh3DlK44D9dlU3
WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak
3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg==
-----END CERTIFICATE-----

檔案名稱和副檔名僅為使用上的方便，不會影響功能。例如，只要 cert.crt 檔案中的相關指示詞使用相同的名稱，您就可以呼叫憑證 cert.pem、ssl.conf 或其他檔案名稱。

重新啟動 Apache。

[ec2-user ~]$ sudo systemctl restart httpd

Apache Web 伺服器現在應該支援透過連接埠 443 的 HTTPS (安全 HTTP)。測試方式是將 EC2 執行個體的 IP 地址或完整網域名稱加上字首 https:// 後，一起輸入到瀏覽器 URL 列。

因為您要使用自簽的不受信任主機憑證連線至網站，所以瀏覽器可能會顯示一系列的安全警告。請覆寫警告，並繼續前往網站。

如果預設 Apache 測試頁面開啟，即表示您已於伺服器順利設定 TLS。現在所有在瀏覽器與伺服器之間傳遞的資料皆會加密。

連線至執行個體，並導覽至 /etc/pki/tls/private/。這是存放伺服器的 TLS 私有金鑰的目錄。如果您偏好使用現有主機金鑰來產生 CSR，請跳到步驟 3。如需連線至執行個體的詳細資訊，請參閱 連線至 AL2023 執行個體

(選用) 產生新私有金鑰。以下是金鑰組態的一些範例。任何產生的金鑰皆可用於您的 Web 伺服器，但金鑰所實作的安全程度和類型會不同。

請確定新的私有金鑰具有高限制的所有權和許可 (擁有者=root、群組=root、僅限擁有者的讀寫權)。命令如下範例所示。

[ec2-user ~]$ sudo chown root:root custom.key
[ec2-user ~]$ sudo chmod 600 custom.key
[ec2-user ~]$ ls -al custom.key

上述命令會產生下列結果。

-rw------- root root custom.key

在您建立和設定滿意的金鑰之後，即可建立 CSR。

使用偏好的金鑰建立 CSR。以下範例使用 custom.key。

[ec2-user ~]$ sudo openssl req -new -key custom.key -out csr.pem

OpenSSL 會開啟對話方塊，並提示您輸入下表中顯示的資訊。對於基本的已驗證網域之主機憑證，Common Name (通用名稱) 以外的所有欄位皆為選用欄位。

最後，OpenSSL 會提示您輸入選用的挑戰密碼。此密碼只會套用至 CSR 以及您與 CA 之間的交易，因此請遵循 CA 對於這個和另一個選用欄位 (選用公司名稱) 的建議。CSR 挑戰密碼不會影響伺服器操作。

產生的檔案 csr.pem 會包含您的公有金鑰、您公有金鑰的數位簽章，以及您輸入的中繼資料。

將 CSR 提交給 CA。這通常包含在文字編輯器開啟 CSR 檔案，以及將內容複製至 Web 表單。此時，系統可能會要求您提供要放在憑證上的一或多個主體別名 (SAN)。如果 www.example.com 是通用名稱，則 example.com 會是不錯的 SAN，反之亦然。輸入其中任一名稱的網站訪客會看到無錯誤連線。如果您的 CA Web 表單允許這項操作，請在 SAN 清單中包含通用名稱。部分 CA 會自動予以包含。

在核准您的請求之後，您會收到 CA 所簽署的新主機憑證。系統也可能會指示您下載「中繼憑證」檔案，其中包含完成 CA 信任鏈所需的其他憑證。

- - - - -BEGIN CERTIFICATE - - - - - 

- - - -END CERTIFICATE - - - - -

[ec2-user certs]$ openssl x509 -in certificate.crt -text

將新的 CA 簽署憑證和任何中繼憑證放在 /etc/pki/tls/certs 目錄中。

從/etc/pki/tls/certs目錄內，檢查檔案擁有權、群組和權限設定是否符合高度限制的 AL2023 預設值 (擁有者 = root、群組 = root、僅限擁有者讀取/寫入)。以下範例顯示要使用的命令。

[ec2-user certs]$ sudo chown root:root custom.crt
[ec2-user certs]$ sudo chmod 600 custom.crt
[ec2-user certs]$ ls -al custom.crt

這些命令應該會產生下列結果。

-rw------- root root custom.crt

中繼憑證檔案的許可較不嚴格 (擁有者=root、群組=root、擁有者可以寫入、群組可以讀取、世界可以讀取)。以下範例顯示要使用的命令。

[ec2-user certs]$ sudo chown root:root intermediate.crt
[ec2-user certs]$ sudo chmod 644 intermediate.crt
[ec2-user certs]$ ls -al intermediate.crt

這些命令應該會產生下列結果。

-rw-r--r-- root root intermediate.crt

將您用來建立 CSR 的私有金鑰放在 /etc/pki/tls/private/ 目錄中。

從/etc/pki/tls/private目錄內部，使用下列指令來驗證檔案擁有權、群組和權限設定是否符合嚴格限制性的 AL2023 預設值 (擁有者 = root、群組 = root、僅供擁有者讀取/寫入)。

[ec2-user private]$ sudo chown root:root custom.key
[ec2-user private]$ sudo chmod 600 custom.key
[ec2-user private]$ ls -al custom.key

這些命令應該會產生下列結果。

-rw------- root root custom.key

編輯 /etc/httpd/conf.d/ssl.conf 以反映新的憑證和金鑰檔案。

1. 在 Apache 的 SSLCertificateFile 指示詞中，提供 CA 簽署主機憑證的路徑和檔案名稱：

   SSLCertificateFile /etc/pki/tls/certs/custom.crt

2. 如果您收到中繼憑證檔案 (在此範例中為 intermediate.crt)，請使用 Apache 的 SSLCACertificateFile 指示詞提供其路徑和檔案名稱：

   SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

   注意

   部分 CA 會將主機憑證和中繼憑證結合至單一檔案，讓 SSLCACertificateFile 指示詞變得不必要。請參閱 CA 所提供的說明。

3. 在 Apache 的 custom.key 指示詞中，提供私有金鑰 (在此範例中為 SSLCertificateKeyFile) 的路徑和檔案名稱：

   SSLCertificateKeyFile /etc/pki/tls/private/custom.key

儲存 /etc/httpd/conf.d/ssl.conf，並重新啟動 Apache。

[ec2-user ~]$ sudo systemctl restart httpd

在瀏覽器 URL 列輸入網域名稱 (字首為 https://)，以測試伺服器。瀏覽器應該會透過 HTTPS 載入測試頁面，而不會產生錯誤。

在文字編輯器中開啟組態檔案 /etc/httpd/conf.d/ssl.conf，在下一行的開頭輸入 "#"，以變更為註解。

#SSLProtocol all -SSLv3

新增下列指示詞：

#SSLProtocol all -SSLv3
SSLProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2

此指示詞明確停用 SSL 版本 2 和 3，以及 TLS 版本 1.0 和 1.1。對於完全只使用 TLS 1.2 的用戶端，伺服器現在拒絕接受其加密連線。指示詞中的冗長言詞更清楚向讀者表達伺服器的設定用途。

在組態檔案 /etc/httpd/conf.d/ssl.conf 中，找出含有 SSLCipherSuite 指示詞的區段，在現有一行的開頭輸入 "#"，以變更為註解。

#SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5

指定明確的加密套件，並指定加密順序將前向保密列為優先，避免不安全的加密。這裡使用的 SSLCipherSuite 指示詞是根據 Mozilla SSL Configuration Generator 的輸出，此工具可針對您伺服器上執行的特定軟體來量身打造 TLS 組態。(如需詳細資訊，請參閱 Mozilla 的實用資源 Security/Server Side TLS。) 首先，根據下列命令的輸出來確定您的 Apache 和 OpenSSL 版本。

[ec2-user ~]$ yum list installed | grep httpd

[ec2-user ~]$ yum list installed | grep openssl

例如，如果傳回的資訊是 Apache 2.4.34 和 OpenSSL 1.0.2，我們會在產生器中輸入此資訊。如果您選擇 "modern" 相容性模型，則會建立 SSLCipherSuite 指示詞來強制實施安全性，但仍適用於大多數瀏覽器。如果您的軟體不支援新式組態，您可以更新軟體或改為選擇 "intermediate" 組態。

SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:
ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256

挑選的加密在名稱中包含 ECDHE (Elliptic Curve Diffie-Hellman Ephemeral 的縮寫)。ephemeral 這個字表示前向保密。附帶效果是這些加密不支援 RC4。

建議您使用明確密碼清單，而不是依賴預設值或是內容不可見的簡潔指示詞。

將產生的指示詞複製到 /etc/httpd/conf.d/ssl.conf 中。

最後，移除下列這一行開頭的 "#"，以取消註解。

#SSLHonorCipherOrder on

此指示詞會強制伺服器優先選擇排名較高的加密，包括 (在此案例中) 支援前向保密的加密。開啟此指示詞時，伺服器會先嘗試建立嚴密的安全連線，再備援至具有較低安全的允許密碼。