☰

Apache 2.4 vhost에서 RC4 암호화를 비활성화하고 여전히 사용 가능

tag-icon • tag-icon apache-http-server ssl openssl letsencrypt
Apache 2.4 vhost에서 RC4 암호화를 비활성화하고 여전히 사용 가능

Apache 2.4에서 내 가상 호스트에는 다음이 포함됩니다.

SSLCertificateFile /etc/letsencrypt/live/qualification.teamagora.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/qualification.teamagora.com/privkey.pem
SSLProtocol             all -SSLv2 -SSLv3
SSLCipherSuite          HIGH:MEDIUM
SSLHonorCipherOrder     on
SSLCompression          off

RC4 암호화를 비활성화해야 합니다...

그럼에도 불구하고 SSLLabs는 다음과 같은 암호화가 가능함을 보여줍니다!

TLS_RSA_WITH_RC4_128_MD5 (0x4)           INSECURE   128
TLS_RSA_WITH_RC4_128_SHA (0x5)           INSECURE   128
TLS_ECDHE_RSA_WITH_RC4_128_SHA (0xc011)  INSECURE   128

RC4를 완전히 비활성화하려면 어디에서 해야 합니까?

vhost 구성 파일이 고려되지 않는 이유는 무엇입니까(서비스 apache2 재시작을 수행했습니다)

답변1

RC4 는 SSLCipherSuite비활성화되지 않습니다. 다음과 같이 보일 것입니다:

SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:!RC4:+HIGH:+MEDIUM:+LOW

당신은 따라야합니다 권장 구성 보안 TLS 구성은 RC4를 비활성화하는 것 이상이므로 Mozilla에서 제공합니다. 기사에서 다음 링크를 찾을 수 있습니다. Mozilla SSL 구성 생성기 이를 통해 서버 및 브라우저 유형별로 적절한 암호화 제품군을 쉽게 구성할 수 있습니다.

관련 정보