SSL / TLS 1.2 no Apache com o openssl 1.0.1

Question

Eu construí e instalei o openssl 1.0.1. Como forçar o Apache a usar as criptografias do TLS 1.2?

    

Answer 1

O TLS 1.2 é abordado nesses dois documentos; link
link

Basicamente, este último documento está proibindo o SSL 2.0 de ser negociado pelo TLS1.2 e este é o padrão para o httpd 2.2 fornecido com o fedora; Por exemplo, SSLProtocol all -SSLv2

No entanto, sua pergunta foi sobre CipherSuites, que também são abordados nesses documentos; Pelo que parece, o único conjunto de criptografia obrigatório para o TLS 1.2 é TLS_RSA_WITH_AES_128_CBC_SHA

Appendix C. Cipher Suite Definitions
Cipher Suite                            Key        Cipher         Mac
                                        Exchange
TLS_RSA_WITH_AES_128_CBC_SHA            RSA          AES_128_CBC  SHA

Isso diz que o servidor deve fornecer um certificado RSA para troca de chaves e que a codificação deve ser AES_128_CBC e o Mac SHA.

A partir dos documentos do httpd mod_ssl, isso se traduz em;

 SSLCipherSuite aRSA:kRSA:AES128-CBC:SHA   

documentado aqui; link