Назад | Перейти на главную страницу

SSL / TLS 1.2 на Apache с openssl 1.0.1

Я собрал и установил openssl 1.0.1. Как заставить Apache использовать шифры TLS 1.2?

TLS 1.2 рассматривается в этих двух документах;
http://tools.ietf.org/html/rfc5246
http://tools.ietf.org/html/rfc6176

По сути, последний документ запрещает согласование SSL 2.0 с помощью TLS1.2, и это значение по умолчанию для httpd 2.2, поставляемого с Fedora; например SSLProtocol all -SSLv2

Однако ваш вопрос касался CipherSuites, которые также описаны в этих документах; Судя по всему, единственный обязательный набор шифров для TLS 1.2 - TLS_RSA_WITH_AES_128_CBC_SHA

Appendix C. Cipher Suite Definitions
Cipher Suite                            Key        Cipher         Mac
                                        Exchange
TLS_RSA_WITH_AES_128_CBC_SHA            RSA          AES_128_CBC  SHA

Это говорит о том, что сервер должен предоставить сертификат RSA для обмена ключами и что шифр должен быть AES_128_CBC и Mac SHA.

Из документации httpd mod_ssl это переводится как;

 SSLCipherSuite aRSA:kRSA:AES128-CBC:SHA   

что задокументировано здесь;
http://httpd.apache.org/docs/2.2/mod/mod_ssl.html#sslciphersuite