ওপেনএসএসএল এবং অ্যাপাচি দিয়ে কীভাবে টিএলএস 1.1 এবং 1.2 সক্ষম করবেন

Question

সিকিউরিটি / টিএলএসের বিরুদ্ধে সদ্য ঘোষিত ব্রাউজার এক্সপ্লিট (বিস্ট) এর মতো ক্রমবর্ধমান সুরক্ষা সমস্যার আলোকে আমি কৌতূহল ছিলাম যে কীভাবে আমরা ওপেনএসএসএল এবং অ্যাপাচি-র সাহায্যে টিএলএস 1.1 এবং 1.2 সক্ষম করতে পারি যাতে আমরা ঝুঁকির মধ্যে পড়ব না। যেমন হুমকি ভেক্টর।

Answer 1

টিএলএস ১.২ টি এখন অ্যাপাচি-র জন্য উপলব্ধ, টিএলএসএস ১.২ যোগ করতে আপনাকে কেবল আপনার https ভার্চুয়াল হোস্ট কনফিগারেশনে যুক্ত করতে হবে:

SSLProtocol -all +TLSv1.2

-all অন্যান্য এসএসএল প্রোটোকল সরানো হচ্ছে (এসএসএল 1,2,3 টিএলএস 1)

+TLSv1.2 টিএলএস ১.২ যোগ করছে

আরও ব্রাউজারের সামঞ্জস্যের জন্য আপনি ব্যবহার করতে পারেন

SSLProtocol -all +TLSv1 +TLSv1.1 +TLSv1.2

আপনি যেভাবে সাইফার স্যুটটি ব্যবহার করে বাড়িয়ে নিতে পারেন:

SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-GCM-SHA256:AES256+EDH:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GC$

আপনি আপনার https ওয়েবসাইট সুরক্ষা যেমন অনলাইন স্ক্যানারের মাধ্যমে পরীক্ষা করতে পারেন: https://www.ssllabs.com/ssltest/index.html

Comments

আমি নিশ্চিত নই কেন এই পোস্টটিকে "পুরানো" হিসাবে চিহ্নিত করা হয়েছে। আমি প্রস্তাবিত সমাধানটি ব্যবহার করেছি এবং আমার গ্রাহকের সাইটটি কুইলসিস এসএসএল ল্যাবগুলিতে "সি" রেটিং থেকে একটি "এ" এ গেছে।

— মাইকেল সোবকজাক

হাই, আমি ভুল বোঝাবুঝি রোধ করতে পুরানো সতর্কতা সরিয়ে দিয়েছি, এটি পুরানো সঠিক উত্তরের লিঙ্ক ছিল। আমি খুশি যে আপনার সুরক্ষা বৃদ্ধি পেয়েছে;)

— ফ্রোগজিজ

সাইটগুলিতে উপলব্ধ / 000-default.conf এ আমি ভার্চুয়াল হোস্ট 'এসএসএলপ্রোটোকল - সমস্ত + টিএলএসভি 1.2' এ যুক্ত করেছি এবং পেয়েছি: এইএইচ 600526: /etc/apache2/sites-enable/000-default.conf এর 31 লাইনে সিনট্যাক্স ত্রুটি : অবৈধ কমান্ড 'এসএসএলপ্রোটোকল', সম্ভবত সার্ভার কনফিগারেশনে অজানা নয় এমন কোনও মডিউল দ্বারা ভুল বানানযুক্ত বা সংজ্ঞায়িত অ্যাকশন 'কনফিগারেশন' ব্যর্থ হয়েছে।

— এলিয়া ওয়েইস

আপনি মোড_এসএল সক্ষম করেছেন? (কমান্ড: a2enmod ssl)

— ফ্রগজিজ

"এসএসএলপ্রোটোকল: অবৈধ প্রোটোকল 'TLSv1.2'" (ওএস এক্স 10.10.5)

— মাইকেল

Answer 2

TLSv1.1 এবং TLSv1.2 সক্ষম করতে ওপেনএসএসএল এর সর্বশেষতম সংস্করণ সহ অ্যাপাচি সংকলন করুন

http://httpd.apache.org/docs/2.2/mod/mod_ssl.html#sslprotocol

SSLProtocol +TLSv1.1 +TLSv1.2

Answer 3

ওপেনএসএসএল চেঞ্জলগের মতে , ওপেনএসএসএল ১.০.১ এর উন্নয়ন শাখায় টিএলএস ১.২ এর জন্য সমর্থন যুক্ত করা হয়েছিল, তবে এই সংস্করণটি এখনও প্রকাশ করা হয়নি। সম্ভবত অ্যাপাচের জন্য টিএলএস 1.2 সক্ষম করার জন্য মোড_এসএল কোডে সম্ভবত কিছু পরিবর্তনগুলিও প্রয়োজন হবে।

আর একটি সাধারণভাবে ব্যবহৃত এসএসএল / টিএলএস লাইব্রেরি হ'ল এনএসএস ; এটি কম পরিচিত অ্যাপাচি মডিউল mod_nss দ্বারা ব্যবহৃত হয় ; দুর্ভাগ্যক্রমে, বর্তমান এনএসএস প্রকাশগুলিও টিএলএস ১.২ সমর্থন করে না।

তবুও অন্য একটি এসএসএল / টিএলএস লাইব্রেরি হ'ল গ্নুটিএলএস , এবং এটি এর বর্তমান প্রকাশে টিএলএস 1.2 সমর্থন করার ভান করে। GnuTLS: mod_gnutls ব্যবহার করে একটি অ্যাপাচি মডিউল রয়েছে যা টিএলএস ১.২ সমর্থন করারও দাবি করে। যাইহোক, এই মডিউলটি বরং নতুন বলে মনে হচ্ছে এবং এটি খুব স্থিতিশীল নয়; আমি কখনই এটি ব্যবহার করার চেষ্টা করিনি।

Comments

@ সার্জি, লিঙ্কগুলি এবং তথ্যের জন্য ধন্যবাদ। আমি এখনও দুঃখিত যে আমরা তাদের মান বিবেচনা করে এই মানগুলি ব্যবহার করতে পারছি না। এটি আমার কাছে অদ্ভুত বলে মনে হচ্ছে যে আমাদের আমাদের সিস্টেম এবং আমাদের নেটওয়ার্কগুলির রক্ষক হওয়া দরকার তবুও আমরা সেই সরঞ্জামগুলি ব্যবহার করতে পারি না যা আমাদের সুরক্ষা ভঙ্গিগুলিকে উন্নত করতে সহায়তা করবে। এছাড়াও, দেখে মনে হয় ওয়েব ব্রাউজারের লোকদের কাছে অ্যাপাচি এবং সম্ভবত আইআইএসের মতো সার্ভার ভাওয়ারা ছাড়াও এই মানগুলির জন্য সহায়তা সক্ষম করার উপায় আছে।

— জন

এই উত্তর কি এখনও এক বছর পরে সঠিক?

— বেন ওয়ালথার

@ বেনওয়ালার ওপেনএসএসএল 1.0.1 টি মার্চ 2012 সালে টিএলএস 1.2 সমর্থন দিয়ে প্রকাশিত হয়েছিল। এখনকার সর্বশেষ সংস্করণটি 1.0.1c। বাকি পোস্টের কতটা বৈধ কিনা তা আমি নিশ্চিত নই।

— বুরহান আলী

Answer 4

আপনি পারবেন না, ওপেনএসএসএল এখনও টিএলএস 1.1 এর জন্য একটি রিলিজ অফার করে না।

উপর প্রাসঙ্গিক মন্তব্য /। এই ইস্যুটির জন্য:

আপনি কি ধুয়ে না থাকা জনগণকে দয়া করে ব্যাখ্যা করবেন যে আপনি এমন একটি দেশে TLS 1.1 এবং 1.2 সমর্থন কীভাবে কার্যকর করবেন যেখানে প্রভাবশালী গ্রন্থাগার ওপেনএসএসএল এখনও তার স্থিতিশীল প্রকাশের কোনও প্রোটোকল সমর্থন করে না? অবশ্যই, আপনি GnuTLS এবং mod_gnutls ব্যবহার করতে পারেন, এবং আমি এটি চেষ্টা করে দেখেছি, তবে কোনও উদ্দেশ্য ছিল না, কারণ অপেরা ব্যতীত কোনও ব্রাউজার এটি সমর্থন করে না এবং মডিউলটিতে কিছু অদ্ভুত গ্লিট রয়েছে। IE 8/9 ভিস্তা এবং 7 এর অধীনে তাদের সমর্থন করার কথা ছিল, কিন্তু 1.1 এবং 1.2 ক্লায়েন্টের পক্ষ থেকে সক্ষম হয়ে গেলে mod_gnutls দ্বারা পরিবেশন করা সাইটটিতে অ্যাক্সেস করতে ব্যর্থ হয়েছিল। আমি কৌতুহলের বাইরে গতকাল এটিকে আবার চেষ্টা করেছি এবং এখন এমনকি অপেরা ১১.৫১ টি টিএলএস ১.১ এবং ১.২ এ চোক করে ফেলেছে। সুতরাং সেখানে। কিছুই প্রোটোকল সমর্থন করে না। টিএলএস 1.1 এর জন্য ওপেনএসএসএল 1.0.1 এর জন্য অপেক্ষা করতে হবে এবং কখন যে রেপোগুলিতে আঘাত করবে কেউ জানে না।

http://it.slashdot.org/comments.pl?sid=2439924&cid=37477890

Comments

@ স্টিভ-ও, তথ্যের জন্য ধন্যবাদ। এটি হতাশার মতো যে টিএলএস ১.১ এপ্রিল ২০০ 2006 থেকে বেরিয়েছে এবং ২০০১ সালের মার্চ মাসে টিএলএস ১.২০ আগস্ট থেকে আপডেট হয়েছে এবং এখনও সেগুলি ব্যবহারের ক্ষমতা আমাদের নেই।

— জন

Answer 5

গুগল ক্রোম ইঞ্জিনিয়ার অ্যাডাম ল্যাংলি উল্লেখ করেছেন যে এসএসএলভি 3 দিয়ে বাস্তবায়নের সমস্যার কারণে টিএলএস 1.1 এই সমস্যার সমাধান করতে পারত না যে সবাইকে কাজ করতে হবে: বগি সার্ভারগুলিকে সমর্থন করার জন্য ব্রাউজারগুলিকে এসএসএলভি 3 তে ডাউনগ্রেড করতে হবে, এবং আক্রমণকারী এটি শুরু করতে পারে ডাউনগ্রেড করুন।

http://www.imperialviolet.org/2011/09/23/chromeandbeast.html

Answer 6

Gnu_tls একটি কবজির মতো কাজ করে এবং এটি এসএনআই (সার্ভারের নাম সনাক্তকরণ) প্রয়োগ করে, এটি ভার্চুয়াল হোস্টিংয়ে খুব কার্যকর ...

লিনাক্স ডিস্ট্রোজে মোড_গনল্টসের জন্য বিন প্যাকেজগুলি খুঁজে পেতে কোনও সমস্যা নেই, আমি এটি 2 বছর ধরে ব্যবহার করি এবং কোনও সমস্যা নেই, এটি ওপেনসেল ইমোর চেয়ে আরও পারফরম্যান্ট।

তবে সমস্যাটি হ'ল বেশিরভাগ ব্রাউজারগুলি 1.1 বা 1.2 টিএসএস সমর্থন করে না তাই দয়া করে লোকেদের নিয়মিত আপগ্রেড করার ব্রাউজারগুলির ধারণাটি ছড়িয়ে দিতে শুরু করুন।

Comments

@ রাস্ট্রানো - কীভাবে এটি বাস্তবায়ন করবেন আপনার কোনও পরামর্শ বা লিঙ্ক আছে? তথ্যের জন্য ধন্যবাদ এবং এটি খুব খারাপ যে "আধুনিক" ব্রাউজারগুলি এখনও এটি সমর্থন করে না।

— জন