Làm thế nào để tắt TLS 1.0 và TLS 1.1 trên Apache Server?

Thay thế TLS 1.0 và TLS 1.1 bằng TLS 1.2 và TLS 1.3

Phiên bản hiện tại của giao thức TLS là  TLS 1.3 . TLS 1.3 được xác định lần đầu tiên vào năm 2018 và nó bao gồm một số cải tiến về bảo mật so với các phiên bản trước của giao thức TLS. Chúng tôi khuyên bạn nên bật TLS 1.2 và TLS 1.3 trên Apache Server của mình thay vì TLS 1.0 và TLS 1.1.

TLS 1.2 cải tiến trên TLS 1.1 bằng cách thêm hỗ trợ cho Mật mã đường cong Elliptic (ECC) và giới thiệu các bộ mật mã mới cung cấp bảo mật tốt hơn các bộ được sử dụng trong TLS 1.1. TLS 1.3 cải thiện TLS 1.2 bằng cách đơn giản hóa quá trình bắt tay và làm cho nó có khả năng chống lại các cuộc tấn công trung gian hơn. Ngoài ra, TLS 1.3 giới thiệu các bộ mật mã mới cung cấp khả năng bảo mật tốt hơn so với các bộ được sử dụng trong TLS 1.2.

TLS 1.2  và  TLS 1.3  đều tương thích ngược với  TLS  1.1 và các phiên bản cũ hơn của giao thức. Điều này có nghĩa là máy khách hỗ trợ TLS 1.2 có thể giao tiếp với máy chủ hỗ trợ  TLS  1.1 và ngược lại.

TLS 1.2 là phiên bản được sử dụng rộng rãi nhất của giao thức TLS , nhưng TLS 1.3 đang trở nên phổ biến. Nhiều trình duyệt web chính, bao gồm Google Chrome, Mozilla Firefox và Microsoft Edge, hiện hỗ trợ TLS 1.3. Ngoài ra, các nhà cung cấp dịch vụ Internet lớn, chẳng hạn như Cloudflare và Akamai, đã bắt đầu hỗ trợ TLS 1.3 trên máy chủ của họ.

Làm cách nào để Tắt TLS 1.0 và TLS 1.1 trên Apache Server?

Vô hiệu hóa TLS 1.0 và TLS 1.1 trên Apache Server của bạn là một bước bảo mật quan trọng vì các giao thức mã hóa cũ hơn này được coi là không an toàn và có một số lỗ hổng đã biết. Bằng cách vô hiệu hóa chúng, bạn có thể giúp bảo vệ máy chủ của mình khỏi các tác nhân độc hại đang tìm cách khai thác những điểm yếu này.

Để tắt TLS 1.0 và TLS 1.1 trên Apache Server, bạn cần chỉnh sửa tệp cấu hình Apache. Vị trí của tệp này có thể khác nhau tùy thuộc vào thiết lập của bạn. Nếu bạn không có cấu hình nhiều trang máy chủ ảo riêng biệt trên Apache, thì tệp cấu hình thường được đặt tại :

/etc/apache2/mods-available/ssl.conf 

hoặc /etc/apache2/mods-enabled/ssl.conf .

Ví dụ:

# nano  /etc/apache2/mods-available/ssl.conf

# nano  /etc/apache2/sites-available/000-default.conf

Sửa SSLProtocol như sau:

SSLProtocol -all +TLSv1.2+TLSv1.3

Khởi động lại Apache Server

$ sudo systemctl restart apache2

Kiểm tra lại bằng lệnh sau:

# nmap --script ssl-enum-ciphers -p IP-SERVER | grep TLSv

Hoặc sử dụng công cụ chẩn đoán cài đặt SSL DigiCert để kiểm tra lại.