Усиление защиты настроек Apache веб-сервера TLS

ОС: GNU / Linux Debian 9.2, полностью обновлено.

Под заголовком Повышение безопасности настроек Apache веб-сервера TLS Я имею в виду следующее:

• отключение TLS 1.0, уже сделанное с помощью этой настройки:

  SSLProtocol -all +TLSv1.1 +TLSv1.2
  

  в следующем файле:

  /etc/apache2/conf-available/security.conf
  

• отключение сжатия GZIP, уже сделанное с помощью следующей команды:

  a2dismod deflate
  

  хотя он спросил меня, действительно ли я хочу отключить этот модуль, мне пришлось ввести:

  Да делай, как я говорю!

  поэтому, естественно, у меня были серьезные сомнения, но, похоже, это не вызывает никаких проблем.

  Я изначально думал, что этот параметр:

  SSLCompression Off
  

  сработает, но, похоже, в любом случае в будущем он служит другой цели ...

• Установка нескольких полезных заголовков:

  Header always set X-Content-Type-Options: "nosniff"
  
  Header always set X-Frame-Options: "sameorigin"
  
  Header always set X-XSS-Protection: 1
  
  Header always set Content-Security-Policy: "default-src 'none'; script-src 'none'; style-src 'self'; img-src 'self'"
  
  Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"
  

• Переход на 256-битное шифрование:

  SSLCipherSuite ECDH+AESGCM256:DH+AESGCM256:ECDH+AES256:DH+AES256:ECDH+AES256:DH+AES256:RSA+AESGCM256:RSA+AES256:!aNULL:!MD5:!DSS:!eNULL:!ADH:!EXP:!LOW:!PSK:!SRP:!RC4
  

  Это мой главный вопрос, так как я не знал, как правильно сделать переключатель, поэтому просто добавил 256 где угодно. Удивительно, но работает :) А строчка правильная?

Надеюсь, я не слишком много напортачил.

Протестировано на SSLLabs и многих других сайтах, но если вам нужна быстрая информация, вы можете использовать:

https://cryptoreport.websecurity.symantec.com/checker/

Веб-сайт, который я защищаю:

https://www.zalohovaniburian.cz/

(Он пока не содержит ничего, кроме изображения «В разработке».)

РЕДАКТИРОВАТЬ1:

• Я создал более крупный файл DHParameters с:

  openssl dhparam -out dhparams.pem 4096
  

  и застрахован он R / W-может только root.

• Наконец, я включил его в файл:

  /etc/apache2/mods-available/ssl.conf
  

  со строкой:

  SSLOpenSSLConfCmd DHParameters "/etc/ssl/dhparams.pem"
  

РЕДАКТИРОВАТЬ2:

я купил нормальный Сертификат SSL, так поздно сегодня я заменил бесплатный Let's Encrypt, который раньше был для SpaceSSL.

РЕДАКТИРОВАТЬ3:

В дополнение к вышесказанному я не могу узнать:

• Какой DNS CAA использует мой сертификат?

• Как включить OCSP Must-Staple?