Deaktivieren der RC4-Verschlüsselung in Apache 2.4 vhost und ist weiterhin verfügbar

1155
Stéphane V

In Apache 2.4 umfasst mein vhost Folgendes:

SSLCertificateFile /etc/letsencrypt/live/qualification.teamagora.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/qualification.teamagora.com/privkey.pem SSLProtocol all -SSLv2 -SSLv3 SSLCipherSuite HIGH:MEDIUM SSLHonorCipherOrder on SSLCompression off

was sollte RC4-Verschlüsselung deaktivieren ...

Wie auch immer, SSLLabs zeigt, dass die folgende Verschlüsselung verfügbar ist!

TLS_RSA_WITH_RC4_128_MD5 (0x4) INSECURE 128 TLS_RSA_WITH_RC4_128_SHA (0x5) INSECURE 128 TLS_ECDHE_RSA_WITH_RC4_128_SHA (0xc011) INSECURE 128

Wo kann ich die RC4 komplett deaktivieren?

Warum wird die vhost-Konfigurationsdatei nicht berücksichtigt (ich habe den Dienst apache2 neu gestartet)

1
Es ist nicht schön, eine Prämie zu starten und sie dann aufzugeben. harrymc vor 6 Jahren 0

1 Antwort auf die Frage

4
harrymc

Sie SSLCipherSuitedeaktivieren RC4 nicht. Es sollte eher aussehen:

SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:!RC4:+HIGH:+MEDIUM:+LOW

Sie sollten Empfohlene Konfigurationen von Mozilla befolgen, da eine sichere TLS-Konfiguration mehr als das Deaktivieren von RC4 ist. In diesem Artikel finden Sie einen Link zum Mozilla SSL Configuration Generator, mit dem Sie die richtigen Verschlüsselungsgruppen pro Server und Browsertyp konfigurieren können.

Verwandte Probleme