☰

Apache 2.4 vhostでRC4暗号化を無効にしても利用可能

tag-icon • tag-icon apache-http-server ssl openssl letsencrypt
Apache 2.4 vhostでRC4暗号化を無効にしても利用可能

Apache 2.4 では、vhost には次のものが含まれます。

SSLCertificateFile /etc/letsencrypt/live/qualification.teamagora.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/qualification.teamagora.com/privkey.pem
SSLProtocol             all -SSLv2 -SSLv3
SSLCipherSuite          HIGH:MEDIUM
SSLHonorCipherOrder     on
SSLCompression          off

これにより、RC4 暗号化が無効になります...

それにもかかわらず、SSLLabs では次の暗号化が利用可能であることが示されています。

TLS_RSA_WITH_RC4_128_MD5 (0x4)           INSECURE   128
TLS_RSA_WITH_RC4_128_SHA (0x5)           INSECURE   128
TLS_ECDHE_RSA_WITH_RC4_128_SHA (0xc011)  INSECURE   128

RC4 を完全に無効にするにはどこでできますか?

なぜvhost構成ファイルが考慮されないのですか（service apache2 restartを実行しました）

答え1

RC4がSSLCipherSuite無効になっていません。次のようになります:

SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:!RC4:+HIGH:+MEDIUM:+LOW

フォローしてください 推奨構成 安全なTLS設定はRC4を無効にするだけでは不十分なので、Mozillaから提供されたリンクを参照してください。 Mozilla SSL 設定ジェネレーター これにより、サーバーやブラウザの種類ごとに適切な暗号スイートを簡単に構成できるようになります。

関連情報