Hi,
wie wäre es bei dem aktuellen openssl durcheinander mit einer anleitung für eine sichere SSL Konfiguration für Dienste wie :
lighttpd, apache, dovecot etc.
Insbesonder der Blick auf aktuelle Verschlüsselungen und obsolete Verfahren wie TLS 1.0 SSLv3 oder auch schlechte Algorytmen sollten dabei einer geziehlten aufmerksamkeit erfolgen.
SSL Konfiguration
-
ddm3ve
- Moderator
- Posts: 1235
- Joined: 2011-07-04 10:56
SSL Konfiguration
02:32:12 21.12.2012 und dann sind Deine Probleme alle unwichtig.
-
Joe User
- Project Manager
- Posts: 11183
- Joined: 2003-02-27 01:00
- Location: Hamburg
Re: SSL Konfiguration
Konfigurationen für OpenSSL, OpenSSH, Apache, Postfix, Dovecot und gegebenenfalls auch nginx, lighttpd kann ich beisteuern. Den Erklärbär müsste jemand anderes übernehmen, darin bin ich nicht ganz so gut ;)
PayPal.Me/JoeUser ● FreeBSD Remote Installation
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
-
daemotron
- Administrator
- Posts: 2641
- Joined: 2004-01-21 17:44
Re: SSL Konfiguration
Ein bisschen erklärbären kann ich beisteuern, hab in letzter Zeit seeehr viel OpenSSL Doku (und Quellcode) gelesen...
“Some humans would do anything to see if it was possible to do it. If you put a large switch in some cave somewhere, with a sign on it saying 'End-of-the-World Switch. PLEASE DO NOT TOUCH', the paint wouldn't even have time to dry.” — Terry Pratchett, Thief of Time
-
daemotron
- Administrator
- Posts: 2641
- Joined: 2004-01-21 17:44
Re: SSL Konfiguration
Hab im Wiki mal was angefangen: http://www.rootwiki.org/wiki/Security/OpenSSL
“Some humans would do anything to see if it was possible to do it. If you put a large switch in some cave somewhere, with a sign on it saying 'End-of-the-World Switch. PLEASE DO NOT TOUCH', the paint wouldn't even have time to dry.” — Terry Pratchett, Thief of Time
-
daemotron
- Administrator
- Posts: 2641
- Joined: 2004-01-21 17:44
Re: SSL Konfiguration
Hab noch mal ein bissl was weitergetextet. Könnte jemand von Euch die Konfigurationen für Apache, Nginx und Postfix beisteuern? Exim bereite ich auf, sobald ich mit den Tests durch bin...
“Some humans would do anything to see if it was possible to do it. If you put a large switch in some cave somewhere, with a sign on it saying 'End-of-the-World Switch. PLEASE DO NOT TOUCH', the paint wouldn't even have time to dry.” — Terry Pratchett, Thief of Time
-
Joe User
- Project Manager
- Posts: 11183
- Joined: 2003-02-27 01:00
- Location: Hamburg
Re: SSL Konfiguration
Jupp, Apache, Dovecot, Postfix kommen im Laufe des Wochenendes, spätestens nächste Woche.
Ich werde allerdings nur TLSv1.0 und TLSv1.2 pur berücksichtigen, kein OCSP, DNSSEC, DANE oder andere Erweiterungen.
Kleinere must-have/nice-to-have Kniffe ala NO_COMPRESSION und stark optimierte Cipherlisten sind aber trotzdem dabei.
Ich werde allerdings nur TLSv1.0 und TLSv1.2 pur berücksichtigen, kein OCSP, DNSSEC, DANE oder andere Erweiterungen.
Kleinere must-have/nice-to-have Kniffe ala NO_COMPRESSION und stark optimierte Cipherlisten sind aber trotzdem dabei.
PayPal.Me/JoeUser ● FreeBSD Remote Installation
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
-
Joe User
- Project Manager
- Posts: 11183
- Joined: 2003-02-27 01:00
- Location: Hamburg
Re: SSL Konfiguration
So, die Basic Konfigurationen für Postfix, Dovecot und Apache sind eingepflegt, allerdings ist mein Text dazu sehr dürftig.
Einen kurzen Hinweis auf RFC7568 habe ich ebenfalls eingebaut.
Einen kurzen Hinweis auf RFC7568 habe ich ebenfalls eingebaut.
PayPal.Me/JoeUser ● FreeBSD Remote Installation
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
-
daemotron
- Administrator
- Posts: 2641
- Joined: 2004-01-21 17:44
Re: SSL Konfiguration
Moin,
da war ja jemand fleißig
Eine Sache ist mir bei meinen Recherchen für Exim über den Weg gelaufen: Die NSS Blibliothek (also der Unterbau von Mozilla für Firefox und Thunderbird) hat ein paar hart codierte Limits:
Testen lässt sich das (zumindest für den Browser) hier: https://cc.dcsec.uni-hannover.de/
da war ja jemand fleißig
Eine Sache ist mir bei meinen Recherchen für Exim über den Weg gelaufen: Die NSS Blibliothek (also der Unterbau von Mozilla für Firefox und Thunderbird) hat ein paar hart codierte Limits:
- RSA Schlüssel dürfen maximal 8192 Bits lang sein (ok, wahrscheinlich kein Problem)
- DH Parameter dürfen maximal 2236 Bits lang sein (das ist bei einigen Konfigurationen ein Problem und führt dann dazu, dass kein DHE Verfahren zum Schlüsselaustausch verwendet wird)
Testen lässt sich das (zumindest für den Browser) hier: https://cc.dcsec.uni-hannover.de/
“Some humans would do anything to see if it was possible to do it. If you put a large switch in some cave somewhere, with a sign on it saying 'End-of-the-World Switch. PLEASE DO NOT TOUCH', the paint wouldn't even have time to dry.” — Terry Pratchett, Thief of Time
-
Joe User
- Project Manager
- Posts: 11183
- Joined: 2003-02-27 01:00
- Location: Hamburg
Re: SSL Konfiguration
Das mit den DH Params wusste ich noch nicht, danke. Werde ich beim nächsten Update meiner FreeBSD-HowTos berücksichtigen.
PayPal.Me/JoeUser ● FreeBSD Remote Installation
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.