Cómo desactivar versiones obsoletas de SSL/TLS en Apache

Desde el 30 de junio de 2018, a efectos de compatibilidad con PCI, los propietarios de sitios deben rechazar el soporte de TLS 1.0. Los protocolos TLS 1.0/1.1 y SSL 2.0/3.0 han quedado obsoletos. No ofrecen una protección adecuada para la transferencia de datos. En particular, TLS 1.0 es vulnerable a determinados ataques. Las versiones antes mencionadas de los protocolos deben eliminarse de entornos que requieran un alto nivel de seguridad.

Casi todos los navegadores modernos soportan TLS 1.2. A continuación, veremos cómo desactivar las versiones TLS 1.0/1.1 y SSL 2.0/3.0 en Apache.

1. Utilice vi (o vim) para editar ssl.conf (normalmente ubicado en /etc/httpd/conf.d).

2. Busque la sección de soporte del protocolo SSL:

# SSL Protocol support:

# List the enable protocol levels with which clients will be able to

# connect.  Disable SSLv2 access by default:

SSLProtocol all -SSLv2 -SSLv3

3. Comente la línea SSLProtocol all -SSLv2 -SSLv3 agregando un símbolo de almohadilla delante de ella.

4. Agregue una línea debajo:

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1

5. Hemos desactivado TLS 1.0/1.1 y SSL 2.0/3.0 y examinamos más a fondo SSL Cipher Suite.

# SSL Cipher Suite:

# List the ciphers that the client is permitted to negotiate.

# See the mod_ssl documentation for a complete list.

SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!IDEA

6. Comente la línea SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!IDEA y agregue lo siguiente debajo:

SSLCipherSuite HIGH:!aNULL:!MD5:!3DES

Esta opción garantiza el uso de cifrado SSL solo con un alto grado de protección.

Debajo de SSLCipherSuite HIGH:!aNULL:!MD5:!3DES agregue asimismo la línea:

SSLHonorCipherOrder on

Este parámetro garantiza que se utilizarán las preferencias de cifrado del servidor, no las preferencias del cliente.

Guarde el archivo y reinicie Apache:

service httpd restart

A continuación, pruebe todas las aplicaciones que interactúan con su servidor. Si tiene algún problema, puede eliminar los comentarios (símbolo de almohadilla) y volver a la versión anterior del archivo.

¡Aplique las mejores prácticas de SSL con LeaderTelecom!