Dotaz: Debian 10, Apache, Let's Encrypt, povolení TLS 1.1

[Marek Kolar]

Zdravím, nainstaloval jsem čerstvý Debian 10 s Apache, přiřadil doménu a rozjel Let's Encrypt certifikát na HTTPS. Po této konfoguraci server poporuje následující verze TLS:

SSLv2     disabled
SSLv3     disabled
TLSv1.0   disabled
TLSv1.1   disabled
TLSv1.2   enabled
TLSv1.3   enabled

Problém však je, že moje testovací aplikace, kterou se serverem testuji umí pouze připojení prostřednictvím TLS 1.1. Potřebuji proto na serveru tento protokol povolit.

Editoval jsem tedy parametr SSLProtocol na následující:

SSLProtocol -all +TLSv1 +TLSv1.1

a to v souborech /etc/apache2/mods-enabled/ssl.conf i /etc/letsencrypt/options-ssl-apache.conf

A v souboru /etc/ssl/openssl.cnf jsem změnil následující:

[system_default_sect]
MinProtocol = TLSv1.0
CipherString = DEFAULT@SECLEVEL=1

Čeho jsem tím docílil je pouze vypnutí TLS 1.3, avšak TLS 1.1 zůstává vypnuté:

SSLv2     disabled
SSLv3     disabled
TLSv1.0   disabled
TLSv1.1   disabled
TLSv1.2   enabled
TLSv1.3   disabled

Otázka tedy zní, co musím ještě nastavit, abych povolil TLS 1.1? Předem díky

---

---

Odpovědi

[Marek Kolar]

Oprava, seznam protokolu je následující (došlo k vypnutí TSLv1.2 i TLSv1.3, ale nedošlo k zapnutí TLSv1.1)

SSLv2     disabled
SSLv3     disabled
TLSv1.0   disabled
TLSv1.1   disabled
TLSv1.2   disabled
TLSv1.3   disabled

[MMMMMMMMM]

A co třeba zkusit (jen hádám)

SSLProtocol TLSv1.1 TLSv1.2 TLSv1.3

[Marek Kolar]

Bohuzel, stejny vysledek.

[ewew]

Pozrel si aj čo je v /var/log/apache2/error.log ?

[Marek Kolar]

No není tam podle mě nic, co by souviselo s tímto problémem.

[MMMMMMMMM]

Chyba muze byt v CipherSuite. Otestuj to takto:

SSLProtocol +TLSv1.2 +TLSv1.1 +TLSv1
SSLCompression off
SSLHonorCipherOrder on
SSLCipherSuite "ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA"

Viz zde..

[Marek Kolar]

Diky moc, funguje!

[Heron]

Může se hodit tento generátor konfigurace pro různé servery. Pro váš požadavek je nutné zvolit OLD a vyzkoušet to. (Tj problém může být v sadě šifer.)

Problém však je, že moje testovací aplikace, kterou se serverem testuji umí pouze připojení prostřednictvím TLS 1.1.

Hmmmmmmmm.

TLS 1.2 was defined in RFC 5246 in August 2008.

[Migi]

nano /etc/ssl/openssl.conf

Úplně na konci souboru uprav na následující stav:

[system_default_sect]

MinProtocol = TLSv1

CipherString = DEFAULT@SECLEVEL=2

V některých případech mi pomohlo i nastavení SECLEVEL=0, např když jsem se musel domlouvat s obstarožními VPNkami, ale to jde přetížit lokálně v configu vpn clienta a rozhodně to nedoporučuju!