提高HTTPS安全評級

提高HTTPS安全評級

Author by Leo

---

Https 安全等級劃分

• T 不可信
• C 不安全
• B 不怎麼安全
• A 安全
• A+ 很是安全

影響安全評級的要素

• 證書發行商(CA)是否可信 T
• 容許的SSL/TLS協議版本
  1. SSLv1-v3 均爲 C
  2. TLSv1.0,TLSv1.1,TLSv1.2 A
• 密鑰的加密強度(MD5,RC等加密算法) C
• OpenSSL的版本(定時檢查更新) T
• 徹底向前保密的密鑰強度(dhparam) B <font style='font-size:10px'>什麼是徹底向前保密呢,總之就是一個很厲害的.可以預防黑客保存攔截的加密數據等待未來一次性全破解的機制.</font>

提高安全評級的要素

如下均已Nginx爲例

1. 生成chain證書

   • 進入證書目錄

   -rw-r--r-- 1 root root  1854 Jan 13 01:17 983e792300b2056e.crt
   -rw-r--r-- 1 root root  4795 Jan 13 01:17 gd_bundle-g2-g1.crt

   • 新建一個新的文本

   vi chain.crt

   • 將983e792300b2056e.crt放入到chain.crt
   • 將gd_bundle-g2-g1.crt追加到chain.crt

2. 生成pem密鑰for向前加密算法

   • 進入到證書目錄

   openssl dhparam -out dh_2048.pem 2048

   • 2048是密鑰的強度,數字越大安全係數越高同時每次加密(和客戶端交互)的CPU佔用率越高

3. 選擇可靠地加密算法

如下是Nginx的配置文件

ssl on;
    ssl_certificate /home/security/wildcard/chain.crt;(使用chain公鑰)
    ssl_certificate_key /home/security/wildcard/xxxx_net.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;(僅支持安全協議)
    ssl_ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5;(拒毫不安全加密)
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    #ssl_dhparam /home/security/wildcard/dhparam.pem;(向前加密密鑰)
    ssl_session_timeout 30m;
    ssl_buffer_size 1400;

測試安全評級地址

https://www.ssllabs.com/ssltest/analyze.html

以上就能夠保證是A評級

A+ 評級須要開啓HSTS(HTTP Strict Transport Security)

開啓後用戶在規定的時間內只能經過HTTPS訪問網站,並且是網站的所有連接.不能後悔.

主要是爲了防範SSL剝離攻擊

HSTS詳解