Tutorial: Konfigurasikan SSL/TLS di Amazon Linux AMI

Sambungkan ke instans Anda dan konfirmasi bahwa Apache sedang berjalan.

[ec2-user ~]$ sudo service httpd status

Jika perlu, mulai Apache.

[ec2-user ~]$ sudo service httpd start

Untuk memastikan bahwa semua paket perangkat lunak Anda telah diperbarui, lakukan pembaruan perangkat lunak cepat di instans Anda. Proses ini mungkin memerlukan waktu beberapa menit, tetapi proses ini penting untuk memastikan bahwa Anda memiliki pembaruan keamanan dan perbaikan bug terbaru.

[ec2-user ~]$ sudo yum update -y

Setelah instans Anda diperbarui, tambahkan dukungan TLS dengan menginstal modul Apache mod_ssl.

[ec2-user ~]$ sudo yum install -y mod_ssl

Instans Anda sekarang memiliki file berikut yang Anda gunakan untuk mengonfigurasi server aman dan membuat sertifikat untuk pengujian:

Baik file .key maupun .crt berformat PEM, yang terdiri dari karakter ASCII berenkode Base64 yang dibingkai dengan baris “BEGIN” dan “END”, seperti dalam contoh singkat sertifikat ini:

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t
MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK
DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV
bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy
...
z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0
WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak
3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg==
-----END CERTIFICATE-----

Nama dan ekstensi file tidak perlu dipusingkan dan tidak berpengaruh pada fungsi; Anda dapat menyebut sertifikat cert.crt, cert.pem, atau nama file lainnya, selama arahan terkait dalam file ssl.conf menggunakan nama yang sama.

Mulai Ulang Apache.

[ec2-user ~]$ sudo service httpd restart

Server web Apache Anda sekarang dapat mendukung HTTPS (HTTP aman) melalui port 443. Uji dengan mengetikkan alamat IP atau nama domain yang sepenuhnya memenuhi syarat dari EC2 instans Anda ke dalam bilah URL browser dengan awalanhttps://. Karena Anda terhubung ke situs dengan sertifikat host yang ditandatangani sendiri dan tidak tepercaya, peramban Anda dapat menampilkan serangkaian peringatan keamanan.

Abaikan peringatan tersebut dan lanjutkan ke situs. Jika halaman uji Apache default terbuka, berarti Anda telah berhasil mengonfigurasi TLS di server Anda. Semua data yang masuk antara peramban dan server sekarang terenkripsi dengan aman.

Untuk mencegah pengunjung situs menghadapi layar peringatan, Anda harus mendapatkan sertifikat tepercaya yang ditandatangani CA dan tidak hanya mengenkripsi, tetapi juga mengautentikasi Anda sebagai pemilik situs.

Connect ke instans Anda dan navigasikan ke/etc/pki/tls/private/. Ini adalah direktori tempat Anda menyimpan kunci privat server untuk TLS disimpan. Jika Anda memilih untuk menggunakan kunci host yang ada guna membuat CSR, lewati ke Langkah 3.

(Opsional) Buat kunci privat baru. Berikut ini adalah beberapa contoh konfigurasi kunci. Setiap kunci yang dihasilkan akan berfungsi untuk server web Anda, tetapi kunci tersebut bervariasi dalam cara (dan jumlah) pelaksanaan keamanan.

Pastikan bahwa kunci pribadi baru memiliki kepemilikan dan izin yang sangat ketat (owner=root, group=root, hanya untuk pemilik). read/write Perintahnya akan seperti berikut:

[ec2-user ~]$ sudo chown root.root custom.key
[ec2-user ~]$ sudo chmod 600 custom.key
[ec2-user ~]$ ls -al custom.key

Perintah di atas akan memberikan hasil seperti berikut:

-rw------- root root custom.key

Setelah membuat dan mengonfigurasikan kunci yang memuaskan, Anda dapat membuat CSR.

Buat CSR menggunakan kunci yang Anda sukai; contoh di bawah ini menggunakan custom.key:

[ec2-user ~]$ sudo openssl req -new -key custom.key -out csr.pem

OpenSSL membuka dialog dan meminta Anda memasukkan informasi yang ditampilkan dalam tabel berikut. Semua kolom kecuali Nama Umum adalah opsional untuk sertifikat host dasar yang divalidasi domain.

Terakhir, OpenSSL meminta kata sandi tantangan opsional dari Anda. Kata sandi ini hanya berlaku untuk CSR dan transaksi antara Anda dan CA Anda, maka ikutilah rekomendasi CA tentang hal ini dan bidang pilihan lainnya, nama perusahaan opsional. Kata sandi tantangan CSR tidak berpengaruh pada operasi server.

File yang dihasilkan csr.pem berisi kunci publik, tanda tangan digital kunci publik Anda, dan metadata yang Anda masukkan.

Kirimkan CSR ke CA. Hal ini biasanya mencakup membuka file CSR Anda dalam sebuah editor teks dan menyalin konten ke dalam bentuk web. Pada saat ini, Anda mungkin diminta untuk memberikan satu atau lebih nama alternatif subjek (SANs) untuk ditempatkan pada sertifikat. Jika www.example.com merupakan nama umum, example.com akan menjadi SAN yang baik dan sebaliknya. Pengunjung ke situs Anda yang mengetik nama-nama ini akan melihat koneksi tanpa kesalahan. Jika formulir web CA Anda mengizinkannya, sertakan nama umum dalam daftar SANs. Beberapa CAs memasukkannya secara otomatis.

Setelah permintaan Anda disetujui, Anda menerima sertifikat host baru yang ditandatangani oleh CA. Anda mungkin juga diminta mengunduh file sertifikat menengah yang berisi sertifikat tambahan yang diperlukan untuk melengkapi rantai kepercayaan CA.

- - - - -BEGIN CERTIFICATE - - - - - 

- - - -END CERTIFICATE - - - - -

[ec2-user certs]$ openssl x509 -in certificate.crt -text

Letakkan sertifikat baru yang ditandatangani CA dan setiap sertifikat menengah di direktori /etc/pki/tls/certs.

Dari dalam /etc/pki/tls/certs direktori, gunakan perintah berikut untuk memverifikasi bahwa kepemilikan file, grup, dan pengaturan izin cocok dengan default Amazon Linux yang sangat ketat (owner=root, group=root, hanya untuk pemilik). read/write

[ec2-user certs]$ sudo chown root.root custom.crt
[ec2-user certs]$ sudo chmod 600 custom.crt
[ec2-user certs]$ ls -al custom.crt

Perintah di atas seharusnya memberikan hasil berikut:

-rw------- root root custom.crt

Izin untuk file sertifikat menengah tidak terlalu ketat (pemilik=root, grup=root, pemilik dapat menulis, grup dapat membaca, dunia dapat membaca). Perintahnya akan menjadi:

[ec2-user certs]$ sudo chown root.root intermediate.crt
[ec2-user certs]$ sudo chmod 644 intermediate.crt
[ec2-user certs]$ ls -al intermediate.crt

Perintah di atas akan memberikan hasil seperti berikut:

-rw-r--r-- root root intermediate.crt

Jika Anda menggunakan sebuah kunci kustom untuk menciptakan CSR dan sertifikat host yang dihasilkan, hapus atau ubah nama kunci lama dari direktori /etc/pki/tls/private/, lalu instal kunci baru di sana.

Dari dalam /etc/pki/tls/private direktori, periksa apakah pengaturan kepemilikan file, grup, dan izin cocok dengan default Amazon Linux yang sangat ketat (owner=root, group=root, hanya untuk pemilik). read/write Perintahnya akan seperti berikut:

[ec2-user private]$ sudo chown root.root custom.key
[ec2-user private]$ sudo chmod 600 custom.key
[ec2-user private]$ ls -al custom.key

Perintah di atas akan memberikan hasil seperti berikut:

-rw------- root root custom.key

Edit /etc/httpd/conf.d/ssl.conf untuk merefleksikan sertifikat dan file kunci baru Anda.

1. Berikan jalur dan nama file sertifikat host yang ditandatangani CA dalam arahan SSLCertificateFile Apache:

   SSLCertificateFile /etc/pki/tls/certs/custom.crt

2. Jika Anda menerima file sertifikat menengah (intermediate.crt dalam contoh ini), berikan jalur dan nama file menggunakan arahan SSLCACertificateFileApache:

   SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

   catatan

   Beberapa CAs menggabungkan sertifikat host dan sertifikat perantara dalam satu file, membuat arahan ini tidak perlu. Baca petunjuk yang diberikan oleh CA Anda.

3. Berikan jalur dan nama file kunci privat dalam arahan SSLCertificateKeyFile Apache:

   SSLCertificateKeyFile /etc/pki/tls/private/custom.key

Simpan /etc/httpd/conf.d/ssl.conf dan mulai ulang Apache.

[ec2-user ~]$ sudo service httpd restart

Uji server Anda dengan memasukkan nama domain ke dalam bilah URL peramban menggunakan prefiks https://. Peramban Anda harus memuat halaman uji melalui HTTPS tanpa menghasilkan kesalahan.

Buka file konfigurasi /etc/httpd/conf.d/ssl.conf dalam editor teks dan berikan komentar pada baris berikut dengan memasukkan “#” di awal setiap baris:

#SSLProtocol all -SSLv3
#SSLProxyProtocol all -SSLv3

Tambahkan arahan berikut:

SSLProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2
SSLProxyProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2

Arahan ini secara eksplisit menonaktifkan SSL versi 2 dan 3, serta TLS versi 1.0 dan 1.1. Server sekarang menolak untuk menerima koneksi terenkripsi dengan klien menggunakan apa pun selain TLS 1.2. Kata yang bertele-tele dalam arahan, bagi pembaca manusia, justru mengungkapkan dengan lebih jelas tentang apa yang akan dilakukan server sesuai konfigurasinya.

Buka file konfigurasi /etc/httpd/conf.d/ssl.conf dan temukan bagian dengan contoh yang dikomentari untuk mengonfigurasi SSLCipherSuite dan SSLProxyCipherSuite.

#SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
#SSLProxyCipherSuite HIGH:MEDIUM:!aNULL:!MD5

Tinggalkan apa adanya, dan di bawahnya tambahkan arahan berikut:

SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:
ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:AES:!aNULL:!eNULL:!EXPORT:!DES:
!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

SSLProxyCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:
ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:AES:!aNULL:!eNULL:!EXPORT:!DES:
!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

Cipher ini adalah sebuah subset dari daftar cipher yang didukung lebih lama di OpenSSL. Mereka dipilih dan dipesan sesuai dengan kriteria berikut:

Cipher berperingkat tinggi memiliki ECDHE dalam nama mereka, yaitu singkatan dari Elliptic Curve Diffie-Hellman Ephemeral; ephemeral mengindikasikan forward secrecy. Juga, RC4 sekarang di antara cipher terlarang menjelang akhir.

Sebaiknya Anda menggunakan daftar cipher secara eksplisit daripada mengandalkan arahan yang ringkas atau default yang kontennya tidak terlihat. Daftar cipher yang ditampilkan di sini hanyalah salah satu dari banyaknya kemungkinan daftar; misalnya, mungkin Anda ingin mengoptimalkan daftar untuk kecepatan daripada forward secrecy.

Jika Anda mengantisipasi kebutuhan untuk mendukung klien yang lebih tua, Anda dapat mengizinkan suite cipher DES- CBC3 -SHA.

Setiap pembaruan pada OpenSSL memperkenalkan cipher baru dan tidak lagi menggunakan yang lama. Perbarui instans EC2 Amazon Linux Anda, perhatikan pengumuman keamanan dari OpenSSL, dan waspada terhadap laporan eksploitasi keamanan baru di pers teknis.

Hapus komentar baris berikut dengan menghapus “#”:

#SSLHonorCipherOrder on

Perintah ini memaksa server untuk lebih memilih cipher berperingkat tinggi, termasuk (dalam hal ini) cipher yang mendukung forward secrecy. Dengan arahan yang diaktifkan ini, server mencoba membangun koneksi aman yang kuat sebelum kembali ke cipher yang diizinkan dengan keamanan lebih rendah.

Mulai Ulang Apache. Jika Anda menguji domain lagi di Qualys SSL Labs, Anda akan melihat bahwa RC4 kerentanannya hilang.