Tutorial: Configurar SSL/TLS no Amazon Linux AMI

Conecte-se à sua instância e confirme se o Apache está em execução.

[ec2-user ~]$ sudo service httpd status

Se necessário, inicie o Apache.

[ec2-user ~]$ sudo service httpd start

Para garantir que todos os pacotes de software estejam atualizados, execute uma atualização rápida de software em sua instância. Esse processo pode levar alguns minutos, mas é importante ter certeza de que você tem as atualizações de segurança e correções mais recentes.

[ec2-user ~]$ sudo yum update -y

Agora que sua instância está atualizada, adicione o suporte ao TLS instalando o módulo mod_ssl do Apache:

[ec2-user ~]$ sudo yum install -y mod_ssl

Sua instância agora possui os seguintes arquivos que você usará para configurar seu servidor seguro e criar um certificado para teste:

Os arquivos .key e .crt estão no formato PEM, que consiste em caracteres ASCII codificados em Base64 enquadrados pelas linhas "BEGIN" e "END", como neste exemplo abreviado de um certificado:

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t
MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK
DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV
bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy
...
z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0
WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak
3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg==
-----END CERTIFICATE-----

Os nomes e as extensões dos arquivos são uma conveniência e não têm efeito sobre a função. Você pode chamar um certificado de cert.crt, cert.pem ou qualquer outro nome de arquivo, desde que a diretriz relacionada no arquivo ssl.conf use o mesmo nome.

Reinicie o Apache.

[ec2-user ~]$ sudo service httpd restart

Seu servidor da web do Apache agora deve oferecer suporte a HTTPS (HTTP seguro) por meio da porta 443. Teste digitando o endereço IP ou o nome de domínio totalmente qualificado da sua EC2 instância na barra de URL do navegador com o prefixohttps://. Como você está se conectando a um site com um certificado de host autoassinado não confiável, o navegador poderá exibir uma série de avisos de segurança.

Ignore os avisos e continue para o site. Se a página de teste padrão do Apache for aberta, a configuração do TLS no servidor estará correta. Todos os dados que passam entre o navegador e o servidor agora estão criptografados com segurança.

Para impedir que os visitantes do site encontrem telas de avisos, você precisa obter um certificado que, além de criptografar, também autentique você publicamente como o proprietário do site.

Conecte-se à sua instância e navegue até/etc/pki/tls/private/. Esse é o diretório onde a chave privada do servidor para TLS é armazenada. Se você preferir usar sua chave de host existente para gerar a CSR, vá para a Etapa 3.

(Opcional) Gerar uma nova chave privada. Estes são alguns exemplos de configurações de chave. Qualquer uma das chaves resultantes funciona com seu servidor web, mas elas variam em como (e quanto) de segurança implementam.

Certifique-se de que a nova chave privada tenha propriedade e permissões altamente restritivas (owner=root, group=root, somente para o proprietário). read/write Os comandos seriam os seguintes:

[ec2-user ~]$ sudo chown root.root custom.key
[ec2-user ~]$ sudo chmod 600 custom.key
[ec2-user ~]$ ls -al custom.key

Os comandos acima devem produzir o seguinte resultado:

-rw------- root root custom.key

Depois de criar e configurar uma chave satisfatória, você pode criar uma CSR.

Crie uma CSR usando sua chave preferencial. O exemplo abaixo usa custom.key:

[ec2-user ~]$ sudo openssl req -new -key custom.key -out csr.pem

A OpenSSL abre uma caixa de diálogo e solicita a informação exibida na tabela a seguir. Todos os campos, exceto Common Name (Nome comum), são opcionais para um certificado de host básico validado por domínio.

Finalmente, a OpenSSL solicita uma senha de desafio opcional. Essa senha se aplica somente à CSR e às transações entre você e sua CA, portanto, siga as recomendações da CA sobre este e o outro campo opcional, nome da empresa opcional. A senha de desafio da CSR não tem nenhum efeito sobre a operação do servidor.

O arquivo resultante csr.pem contém sua chave pública, a assinatura digital de sua chave pública e os metadados que você inseriu.

Envie a CSR a uma CA. Geralmente, isso consiste em abrir seu arquivo de CSR em um editor de texto e copiar o conteúdo em um formulário da Web. No momento, você pode ser solicitado a fornecer um ou mais nomes alternativos de assunto (SANs) para serem colocados no certificado. Se www.example.com for o nome comum, example.com seria um bom SAN e vice-versa. Um visitante a seu site que digitar qualquer um desses nomes veria uma conexão livre de erros. Se o formulário web da CA permitir, inclua o nome comum na lista de SANs. Alguns o CAs incluem automaticamente.

Depois que sua solicitação é aprovada, você recebe um novo certificado de host assinado pela CA. Você também pode receber uma instrução para fazer download de um arquivo de certificado intermediário que contém os certificados adicionais necessários para concluir a cadeia de confiança da CA.

- - - - -BEGIN CERTIFICATE - - - - - 

- - - -END CERTIFICATE - - - - -

[ec2-user certs]$ openssl x509 -in certificate.crt -text

Coloque o novo certificado assinado pela CA e quaisquer certificados intermediários no diretório /etc/pki/tls/certs.

De dentro do /etc/pki/tls/certs diretório, use os comandos a seguir para verificar se as configurações de propriedade, grupo e permissão do arquivo correspondem aos padrões altamente restritivos do Amazon Linux (owner=root, group=root, somente para proprietário). read/write

[ec2-user certs]$ sudo chown root.root custom.crt
[ec2-user certs]$ sudo chmod 600 custom.crt
[ec2-user certs]$ ls -al custom.crt

Os comandos acima devem produzir o seguinte resultado:

-rw------- root root custom.crt

As permissões para o arquivo de certificado intermediário são menos estritas (owner=root, group=root, proprietário pode gravar, grupo pode ler, mundo pode ler). Os comandos serão:

[ec2-user certs]$ sudo chown root.root intermediate.crt
[ec2-user certs]$ sudo chmod 644 intermediate.crt
[ec2-user certs]$ ls -al intermediate.crt

Os comandos acima devem produzir o seguinte resultado:

-rw-r--r-- root root intermediate.crt

Se você tiver usado uma chave personalizada para criar sua CSR e o certificado do host resultante, remova ou renomeie a chave antiga no diretório /etc/pki/tls/private/ e instale a nova chave ali.

De dentro do /etc/pki/tls/private diretório, verifique se as configurações de propriedade, grupo e permissão do arquivo correspondem aos padrões altamente restritivos do Amazon Linux (owner=root, group=root, somente para proprietário). read/write Os comandos seriam os seguintes:

[ec2-user private]$ sudo chown root.root custom.key
[ec2-user private]$ sudo chmod 600 custom.key
[ec2-user private]$ ls -al custom.key

Os comandos acima devem produzir o seguinte resultado:

-rw------- root root custom.key

Edite /etc/httpd/conf.d/ssl.conf para refletir seu novo certificado e arquivos de chave.

1. Forneça o caminho e o nome do arquivo do certificado de host assinado por CA na diretiva SSLCertificateFile do Apache:

   SSLCertificateFile /etc/pki/tls/certs/custom.crt

2. Se você receber um arquivo de certificado intermediário (intermediate.crt neste exemplo), forneça o caminho e o nome do arquivo usando a diretiva SSLCACertificateFile do Apache:

   SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

   nota

   Alguns CAs combinam o certificado host e os certificados intermediários em um único arquivo, tornando essa diretiva desnecessária. Consulte as instruções fornecidas pela CA.

3. Forneça o caminho e o nome do arquivo da chave privada na diretiva SSLCertificateKeyFile do Apache.

   SSLCertificateKeyFile /etc/pki/tls/private/custom.key

Salve o /etc/httpd/conf.d/ssl.conf e reinicie o Apache.

[ec2-user ~]$ sudo service httpd restart

Teste seu servidor inserindo seu nome de domínio em uma barra de URL do navegador com o prefixo https://. Seu navegador deve carregar a página de teste via HTTPS sem gerar erros.

Abra o arquivo de configuração /etc/httpd/conf.d/ssl.conf em um editor de texto e comente as seguintes linhas digitando "#" no início de cada uma:

#SSLProtocol all -SSLv3
#SSLProxyProtocol all -SSLv3

Adicione as seguintes diretivas:

SSLProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2
SSLProxyProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2

Essas diretivas desativam explicitamente as versões 2 e 3 do SSL, bem como as versões 1.0 e 1.1 do TLS. O servidor agora se recusa a aceitar conexões criptografadas com clientes que não estejam usando o TLS 1.2. A expressão detalhada na diretriz comunica mais claramente, para um leitor humano, para que o servidor está configurado.

Abra o arquivo de configuração /etc/httpd/conf.d/ssl.confe localize a seção com exemplos comentados para a configuração de SSLCipherSuite e SSLProxyCipherSuite.

#SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
#SSLProxyCipherSuite HIGH:MEDIUM:!aNULL:!MD5

Deixe-os como estão e, abaixo deles, adicione as seguintes diretrizes:

SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:
ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:AES:!aNULL:!eNULL:!EXPORT:!DES:
!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

SSLProxyCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:
ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:AES:!aNULL:!eNULL:!EXPORT:!DES:
!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

Essas cifras são um subconjunto da lista muito mais longa de cifras com suporte na OpenSSL. Foram selecionadas e ordenadas de acordo com os seguintes critérios:

As cifras com classificações elevadas têm ECDHE nos seus nomes, para Elliptic Curve Diffie-Hellman Ephemeral (Curva elíptica de Diffie-Hellman efêmera); o termo efêmera indica o forward secrecy (sigilo de encaminhamento). Além disso, agora RC4 está entre as cifras proibidas perto do fim.

Recomendamos que você use uma lista explícita de cifras em vez de confiar em padrões ou em diretrizes concisas cujo conteúdo não é visível. A lista de cifras mostrada aqui é apenas uma das muitas listas possíveis. Por exemplo, você pode desejar otimizar uma lista para velocidade em vez de forward secrecy.

Se você antecipar a necessidade de oferecer suporte a clientes mais antigos, você pode permitir o pacote de criptografia DES- CBC3 -SHA.

Cada atualização do OpenSSL introduz novas cifras e torna obsoletas as cifras antigas. Mantenha sua instância EC2 Amazon Linux atualizada, fique atento aos anúncios de segurança do OpenSSL e fique atento às denúncias de novas falhas de segurança na imprensa técnica.

Exclua o comentário da linha a seguir removendo o "#":

#SSLHonorCipherOrder on

Esse comando força o servidor a preferir cifras de alta classificação incluindo (neste caso) aquelas que oferecem suporte a forward secrecy. Com essa diretriz ativada, o servidor tenta estabelecer uma conexão altamente segura antes de voltar a usar cifras permitidas com menos segurança.

Reinicie o Apache. Se você testar o domínio novamente no Qualys SSL Labs, verá que a RC4 vulnerabilidade desapareceu.