☰

Deaktivieren der RC4-Verschlüsselung im Apache 2.4 vhost und weiterhin verfügbar

tag-icon • tag-icon apache-http-server ssl openssl letsencrypt
Deaktivieren der RC4-Verschlüsselung im Apache 2.4 vhost und weiterhin verfügbar

In Apache 2.4 umfasst mein virtueller Host Folgendes:

SSLCertificateFile /etc/letsencrypt/live/qualification.teamagora.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/qualification.teamagora.com/privkey.pem
SSLProtocol             all -SSLv2 -SSLv3
SSLCipherSuite          HIGH:MEDIUM
SSLHonorCipherOrder     on
SSLCompression          off

dadurch sollte die RC4-Verschlüsselung deaktiviert werden ...

SSLLabs zeigt dennoch, dass folgende Verschlüsselung verfügbar ist!

TLS_RSA_WITH_RC4_128_MD5 (0x4)           INSECURE   128
TLS_RSA_WITH_RC4_128_SHA (0x5)           INSECURE   128
TLS_ECDHE_RSA_WITH_RC4_128_SHA (0xc011)  INSECURE   128

Wo kann ich RC4 vollständig deaktivieren?

Warum wird die vhost-Konfigurationsdatei nicht berücksichtigt (ich habe service apache2 restart durchgeführt)

Antwort1

Dadurch SSLCipherSuitewird RC4 nicht deaktiviert. Es sollte eher so aussehen:

SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:!RC4:+HIGH:+MEDIUM:+LOW

Du sollst Folgen Empfohlene Konfigurationen von Mozilla, da eine sichere TLS-Konfiguration mehr ist als das Deaktivieren von RC4. Sie finden im Artikel einen Link zum Mozilla SSL-Konfigurationsgenerator Dadurch wird die Konfiguration geeigneter Verschlüsselungssammlungen für die einzelnen Server- und Browsertypen vereinfacht.

verwandte Informationen