Desabilitando a criptografia RC4 no vache do Apache 2.4 e ainda disponível

Question

No Apache 2.4, meu vhost inclui o seguinte:

SSLCertificateFile /etc/letsencrypt/live/qualification.teamagora.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/qualification.teamagora.com/privkey.pem
SSLProtocol             all -SSLv2 -SSLv3
SSLCipherSuite          HIGH:MEDIUM
SSLHonorCipherOrder     on
SSLCompression          off

que deve desativar a codificação RC4 ...

Neverthelless, SSLLabs mostra que a seguinte cifra está disponível!

TLS_RSA_WITH_RC4_128_MD5 (0x4)           INSECURE   128
TLS_RSA_WITH_RC4_128_SHA (0x5)           INSECURE   128
TLS_ECDHE_RSA_WITH_RC4_128_SHA (0xc011)  INSECURE   128

Onde posso desativar completamente o RC4?

Por que o arquivo de configuração do vhost não é levado em consideração (eu fiz o serviço apache2 restart)

    

Answer 1

Seu SSLCipherSuite não desativa o RC4. Deve parecer mais com:

SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:!RC4:+HIGH:+MEDIUM:+LOW

Você deve seguir Configurações recomendadas da Mozilla, já que uma configuração TLS segura é mais do que desabilitar o RC4. Você encontrará no artigo um link para o Gerador de configuração SSL do Mozilla que facilita a configuração de pacotes de criptografia apropriados por servidor e navegador tipos.