Não é possível desabilitar o TLSv1 / TLSv1.1 no Apache 2.4.18

Question

Um cliente solicitou que eu desative o TLSv1 e o TLSv1.1 em um servidor da web. O servidor está executando o Apache 2.4.8. e OpenSSL 1.0.2g.

Eu adicionei a diretiva a /etc/apache2/mods-enabled/ssl.conf :

SSLProtocol TLSv1.2

Reiniciar o Apache2 e executar um teste no SSL Labs (e duas outras ferramentas) mostra que o TLSv1 e o 1.1 ainda estão habilitados. Eu tentei muitas variações da diretiva SSLProtocol, com base em Googling:

SSLProtocol -all +TLSv1.2

SSLProtocol +TLSv1.2 -TLSv1.1 -TLSv1

SSLProtocol +all -TLSv1.1 -TLSv1

Nenhum deles funciona. Eu também tentei adicionar a diretiva para /etc/apache2/apache2.conf . Isso também não faz diferença.

Não tenho ideia de como proceder.

    

Answer 1

A client has requested that I disable TLSv1 and TLSv1.1 on a web server. The server is running Apache 2.4.8. and OpenSSL 1.0.2g.

Aqui está a configuração apropriada para o que você descreve.

SSLProtocol             all -SSLv3 -TLSv1 -TLSv1.1

SSLCipherSuite          ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256

SSLHonorCipherOrder     on

SSLCompression          off

SSLSessionTickets       off

Fonte: apache 2.4.18 | perfil moderno | OpenSSL 1.0.1g

Você pode reduzir a lista de conjuntos de codificação para o seguinte:

SSLCipherSuite HIGH:!aNULL:!MD5:!RC4

Fonte: Como forçar todas as conexões do Apache a usar TLSv1.1 ou TLSv1.2