Tutorial: Konfiguration SSL/TLS auf Amazon Linux AMI

Verbinden Sie sich mit der Instance und stellen Sie sicher, dass Apache ausgeführt wird.

[ec2-user ~]$ sudo service httpd status

Starten Sie Apache, falls erforderlich.

[ec2-user ~]$ sudo service httpd start

Um sicherzustellen, dass alle Ihre Softwarepakete aktuell sind, führen Sie ein schnelles Softwareupdate auf Ihrer Instance aus. Dieser Vorgang kann einige Minuten dauern. Es ist jedoch wichtig, sicherzustellen, dass Sie über die aktuellen Sicherheitsaktualisierungen und Fehlerbehebungen verfügen.

[ec2-user ~]$ sudo yum update -y

Wenn Ihre Instance jetzt aktuell ist, fügen Sie TLS-Unterstützung hinzu, indem Sie das Apache-Modul installiere mod_ssl:

[ec2-user ~]$ sudo yum install -y mod_ssl

Ihre Instance verfügt nun über die folgenden Dateien, mit denen Sie Ihren sicheren Server konfigurieren und ein Zertifikat zum Testen erstellen:

Die .key- und .crt-Dateien weisen beide das PEM-Format auf. Diese bestehen aus Base64-kodierten ASCII-Zeichen, die durch „BEGIN” und „END”-Zeilen eingerahmt werden, wie in diesem verkürzten Beispiel für ein Zertifikat dargestellt:

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t
MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK
DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV
bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy
...
z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0
WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak
3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg==
-----END CERTIFICATE-----

Die Dateinamen und Erweiterungen dienen der Einfachheit und haben keinerlei Auswirkungen auf die Funktion. Sie können ein Zertifikat mit cert.crt, cert.pem oder einem beliebigen anderen Dateinamen benennen, solange die zugehörige Richtlinie in der Datei ssl.conf denselben Namen verwendet.

Starten Sie Apache erneut.

[ec2-user ~]$ sudo service httpd restart

Ihr Apache-Webserver sollte jetzt HTTPS (sicheres HTTP) über Port 443 unterstützen. Testen Sie ihn, indem Sie die IP-Adresse oder den vollqualifizierten Domainnamen Ihrer EC2 Instance in eine Browser-URL-Leiste mit dem Präfix eingeben. https:// Da Sie eine Verbindung mit einer Website mit einem selbstsignierten, nicht vertrauenswürdigen Host-Zertifikat herstellen, zeigt Ihr Browser möglicherweise eine Reihe von Sicherheitswarnungen an.

Setzen Sie die Warnmeldungen außer Kraft und fahren Sie mit der Website fort. Wenn die Apache-Standardtestseite geöffnet wird, bedeutet dies, dass Sie TLS erfolgreich auf Ihrem Server konfiguriert haben. Alle Daten, die zwischen dem Browser und dem Server übertragen werden, sind nun sicher verschlüsselt.

Damit den Besuchern keine Warnbildschirme angezeigt werden, müssen Sie ein Zertifikat abrufen, das nicht nur verschlüsselt, sondern Sie auch öffentlich als den Eigentümer der Website authentifiziert.

Connect zu Ihrer Instance her und navigieren Sie zu/etc/pki/tls/private/. Dies ist das Verzeichnis, in dem der private Schlüssel des Servers für TLS gespeichert ist. Wenn Sie lieber Ihren vorhandenen Host-Schlüssel zum Generieren der CSR verwenden möchten, fahren Sie mit Schritt 3 fort.

(Optional) Generieren Sie einen neuen privaten Schlüssel. Hier sind einige Beispiele für Schlüsselkonfigurationen. Alle erstellten Schlüssel funktionieren mit Ihrem Webserver, sie unterscheiden sich jedoch darin, wie (und wie viel) Sicherheit sie implementieren.

Stellen Sie sicher, dass der neue private Schlüssel sehr restriktive Besitzrechte und Berechtigungen hat (owner = root, group=root, read/write nur für Besitzer). Die Befehle würden folgendermaßen lauten:

[ec2-user ~]$ sudo chown root.root custom.key
[ec2-user ~]$ sudo chmod 600 custom.key
[ec2-user ~]$ ls -al custom.key

Die obigen Befehle sollten das folgende Ergebnis hervorrufen:

-rw------- root root custom.key

Wenn Sie einen zufriedenstellenden Schlüssel erstellt und konfiguriert haben, können Sie eine CSR erstellen.

Erstellen Sie eine CSR mit Ihrem bevorzugten Schlüssel; das folgende Beispiel verwendet custom.key:

[ec2-user ~]$ sudo openssl req -new -key custom.key -out csr.pem

OpenSSL öffnet einen Dialog und fordert Sie auf, die in der folgenden Tabelle aufgeführten Informationen einzugeben. Alle Felder außer Common Name (Allgemeiner Name) sind bei einem grundlegenden, Domain-validierten Host-Zertifikat optional.

Zuletzt fordert OpenSSL Sie zur Eingabe eines optionalen Challenge-Passworts auf. Dieses Passwort gilt nur für die CSR und für Transaktionen zwischen Ihnen und Ihrer CA. Befolgen Sie daher die Empfehlungen Ihrer CA diesbezüglich und in Bezug auf das andere optionale Feld, den optionalen Unternehmensnamen. Das CSR-Challenge-Passwort wirkt sich nicht auf den Serverbetrieb aus.

Die erstellte Datei csr.pem enthält Ihren öffentlichen Schlüssel, die digitale Signatur Ihres öffentlichen Schlüssels und die von Ihnen eingegebenen Metadaten.

Übermitteln Sie die CSR an eine CA. Dies besteht in der Regel daraus, Ihre CSR-Datei in einem Texteditor zu öffnen und den Inhalt in ein Webformular zu kopieren. Zu diesem Zeitpunkt werden Sie möglicherweise aufgefordert, einen oder mehrere alternative Namen (SANs) für das Zertifikat anzugeben. Wenn www.example.com der allgemeine Name ist, wäre example.com ein guter SAN und umgekehrt. Ein Besucher Ihrer Website, der einen dieser Namen eingibt, würde eine fehlerfreie Verbindung sehen. Wenn Ihr CA-Webformular dies zulässt, nehmen Sie den allgemeinen Namen in die Liste der auf SANs. Manche CAs schließen ihn automatisch ein.

Nachdem Ihre Anfrage genehmigt wurde, erhalten Sie ein neues, von der CA unterzeichnetes Host-Zertifikat. Möglicherweise werden Sie auch dazu aufgefordert, eine Zwischenzertifikatsdatei herunterzuladen, die zusätzliche Zertifikate enthält, welche zum Fertigstellen der Vertrauenskette der CA benötigt werden.

- - - - -BEGIN CERTIFICATE - - - - - 

- - - -END CERTIFICATE - - - - -

[ec2-user certs]$ openssl x509 -in certificate.crt -text

Platzieren Sie ein neues CA-signiertes Zertifikat und alle Zwischenzertifikate im /etc/pki/tls/certs-Verzeichnis.

Verwenden Sie innerhalb des /etc/pki/tls/certs Verzeichnisses die folgenden Befehle, um zu überprüfen, ob die Einstellungen für Dateibesitz, Gruppe und Berechtigungen den stark restriktiven Amazon Linux-Standardeinstellungen entsprechen (owner=root, group=root, read/write nur für Eigentümer).

[ec2-user certs]$ sudo chown root.root custom.crt
[ec2-user certs]$ sudo chmod 600 custom.crt
[ec2-user certs]$ ls -al custom.crt

Die obigen Befehle sollten das folgende Ergebnis hervorrufen:

-rw------- root root custom.crt

Die Berechtigungen für die Zwischenzertifikatsdatei sind weniger strikt (Eigentümer=root, Gruppe=root, Eigentümer kann schreiben, Gruppe kann lesen, die restliche Welt kann lesen). Die Befehle würden so lauten:

[ec2-user certs]$ sudo chown root.root intermediate.crt
[ec2-user certs]$ sudo chmod 644 intermediate.crt
[ec2-user certs]$ ls -al intermediate.crt

Die obigen Befehle sollten das folgende Ergebnis hervorrufen:

-rw-r--r-- root root intermediate.crt

Wenn Sie einen benutzerdefinierten Schlüssel zum Erstellen Ihrer CSR und des Host-Zertifikats verwendet haben, entfernen Sie den alten Schlüssel aus dem Verzeichnis /etc/pki/tls/private/ oder benennen Sie ihn und installieren Sie den neuen Schlüssel dort.

Überprüfen Sie innerhalb des /etc/pki/tls/private Verzeichnisses, ob die Einstellungen für Dateibesitz, Gruppe und Berechtigungen den stark restriktiven Amazon Linux-Standardeinstellungen entsprechen (owner=root, group=root, read/write nur für Eigentümer). Die Befehle würden folgendermaßen lauten:

[ec2-user private]$ sudo chown root.root custom.key
[ec2-user private]$ sudo chmod 600 custom.key
[ec2-user private]$ ls -al custom.key

Die obigen Befehle sollten das folgende Ergebnis hervorrufen:

-rw------- root root custom.key

Bearbeiten Sie die Datei /etc/httpd/conf.d/ssl.conf so, dass sie Ihr neues Zertifikat und Ihre Schlüsseldateien widerspiegelt.

1. Geben Sie den Pfad und Dateinamen des CA-signierten Host-Zertifikats im SSLCertificateFile-Verzeichnis von Apache an.

   SSLCertificateFile /etc/pki/tls/certs/custom.crt

2. Wenn Sie eine Zwischenzertifikatsdatei erhalten haben (intermediate.crt in diesem Beispiel), stellen Sie den entsprechenden Pfad und Dateinamen über das SSLCACertificateFile-Verzeichnis in Apache bereit:

   SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

   Anmerkung

   Manche CAs kombinieren das Host-Zertifikat und die Zwischenzertifikate in einer einzigen Datei, sodass diese Direktive überflüssig wird. Informieren Sie sich in den von Ihrer CA bereitgestellten Anweisungen.

3. Geben Sie den Pfad und Dateinamen des privaten Schlüssels in der SSLCertificateKeyFile-Richtlinie des Apache an:

   SSLCertificateKeyFile /etc/pki/tls/private/custom.key

Speichern Sie /etc/httpd/conf.d/ssl.conf und starten Sie Apache erneut.

[ec2-user ~]$ sudo service httpd restart

Testen Sie Ihren Server, indem Sie Ihren Domain-Namen in eine Browser-URL-Leiste mit dem Präfix https:// eingeben. Ihr Browser sollte die Testseite über HTTPS laden, ohne Fehler zu erzeugen.

Öffnen Sie die Konfigurationsdatei /etc/httpd/conf.d/ssl.conf in einem Texteditor und kommentieren Sie die folgenden Zeilen aus, indem Sie am Anfang jeweils "#" eingeben:

#SSLProtocol all -SSLv3
#SSLProxyProtocol all -SSLv3

Fügen Sie die folgenden Richtlinien hinzu:

SSLProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2
SSLProxyProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2

Diese Richtlinien deaktivieren die SSL-Versionen 2 und 3 explizit sowie auch die TLS-Versionen 1.0 und 1.1. Der Server akzeptiert jetzt keine verschlüsselten Verbindungen mit Clients, die eine andere Version als TLS 1.2 verwenden. Der Verbose-Wortlaut in der Richtlinie teilt einem menschlichen Leser genauer mit, wofür der Server konfiguriert ist.

Öffnen Sie die Konfigurationsdatei /etc/httpd/conf.d/ssl.conf und suchen Sie den Abschnitt mit auskommentierten Beispiel für die Konfiguration von SSLCipherSuite und SSLProxyCipherSuite.

#SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
#SSLProxyCipherSuite HIGH:MEDIUM:!aNULL:!MD5

Lassen Sie diese so, wie sie sind, und fügen Sie darunter die folgenden Richtlinien hinzu:

SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:
ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:AES:!aNULL:!eNULL:!EXPORT:!DES:
!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

SSLProxyCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:
ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:AES:!aNULL:!eNULL:!EXPORT:!DES:
!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

Diese Chiffren sind eine Teilmenge der viel längeren Liste von unterstützten Chiffren in OpenSSL. Sie wurden anhand der folgenden Kriterien ausgewählt und angeordnet:

Hochrangige Chiffren haben ECDHE in ihrem Namen, für Elliptic Curve Diffie-Hellman Ephemeral. Ephemeral weist hierbei auf Forward Secrecy hin. Außerdem gehört sie jetzt zu den verbotenen Chiffren, RC4 die kurz vor dem Ende stehen.

Wir empfehlen, eine explizite Liste von Chiffren zu verwenden, anstatt auf Standards oder Terse-Richtlinien zu vertrauen, deren Inhalte nicht sichtbar sind. Die hier gezeigte Chiffreliste ist nur eine von vielen möglichen Listen. Beispielsweise möchten Sie vielleicht eine Liste eher für die Geschwindigkeit als für Forward Secrecy optimieren.

Wenn Sie davon ausgehen, dass ältere Clients unterstützt werden müssen, können Sie die DES- CBC3 -SHA Cipher Suite zulassen.

Jede Aktualisierung von OpenSSL führt neue Chiffren ein und stuft ältere als veraltet ein. Halten Sie Ihre EC2 Amazon Linux-Instance auf dem neuesten Stand, achten Sie auf Sicherheitsankündigungen von OpenSSL und achten Sie auf Berichte über neue Sicherheitslücken in der Fachpresse.

Entfernen Sie das Kommentarzeichen der folgenden Zeile, indem Sie das „#” löschen:

#SSLHonorCipherOrder on

Dieser Befehl zwingt den Server, hochrangige Chiffren zu bevorzugen, einschließlich derjenigen (in diesem Fall), die Forward Secrecy unterstützen. Wenn diese Richtlinie aktiviert ist, versucht der Server, eine hochgradig sichere Verbindung herzustellen, bevor er auf Chiffren mit geringerer Sicherheit zurückgreift.

Starten Sie Apache erneut. Wenn Sie die Domain erneut auf Qualys SSL Labs testen, sollten Sie feststellen, dass die RC4 Sicherheitslücke behoben ist.