1.8. Apache HTTP サーバーで TLS 暗号化の設定

手順

1. mod_ssl パッケージをインストールします。

   # dnf install mod_ssl

2. /etc/httpd/conf.d/ssl.conf ファイルを編集し、以下の設定を <VirtualHost _default_:443> ディレクティブに追加します。

   1. サーバー名を設定します。

      ServerName example.com

   重要

   サーバー名は、証明書の Common Name フィールドに設定されているエントリーと一致している必要があります。

   1. 必要に応じて、証明書の Subject Alt Names (SAN) フィールドに追加のホスト名が含まれる場合に、これらのホスト名にも TLS 暗号化を提供するように mod_ssl を設定できます。これを設定するには、ServerAliases パラメーターと対応する名前を追加します。

      ServerAlias www.example.com server.example.com

   2. 秘密鍵、サーバー証明書、および CA 証明書へのパスを設定します。

      SSLCertificateKeyFile "/etc/pki/tls/private/example.com.key"
      SSLCertificateFile "/etc/pki/tls/certs/example.com.crt"
      SSLCACertificateFile "/etc/pki/tls/certs/ca.crt"

3. セキュリティー上の理由から、root ユーザーのみが秘密鍵ファイルにアクセスできるように設定します。

   # chown root:root /etc/pki/tls/private/example.com.key
   # chmod 600 /etc/pki/tls/private/example.com.key

   警告

   秘密鍵に権限のないユーザーがアクセスした場合は、証明書を取り消し、新しい秘密鍵を作成し、新しい証明書を要求します。そうでない場合は、TLS 接続が安全ではなくなります。

4. firewalld を使用する場合は、ローカルのファイアウォールでポート 443 を開きます。

   # firewall-cmd --permanent --add-port=443/tcp
   # firewall-cmd --reload

5. httpd サービスを再起動します。

   # systemctl restart httpd

   注記

   パスワードで秘密鍵ファイルを保護した場合は、httpd サービスの起動時に毎回このパスワードを入力する必要があります。

手順

1. /etc/httpd/conf/httpd.conf ファイルを編集し、TLS プロトコルバージョンを設定する <VirtualHost> ディレクティブに以下の設定を追加します。たとえば、TLSv1.3 プロトコルのみを有効にするには、以下を実行します。

   SSLProtocol -All TLSv1.3

2. httpd サービスを再起動します。

   # systemctl restart httpd

検証手順

1. 以下のコマンドを使用して、サーバーが TLSv1.3 に対応していることを確認します。

   # openssl s_client -connect example.com:443 -tls1_3

2. 以下のコマンドを使用して、サーバーが TLSv1.2 に対応していないことを確認します。

   # openssl s_client -connect example.com:443 -tls1_2

   サーバーがプロトコルに対応していない場合には、このコマンドは以下のエラーを返します。

   140111600609088:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:ssl/record/rec_layer_s3.c:1543:SSL alert number 70

3. 必要に応じて、他の TLS プロトコルバージョンのコマンドを繰り返し実行します。

手順

1. /etc/httpd/conf/httpd.conf ファイルを編集し、TLS 暗号を設定する <VirtualHost> ディレクティブに SSLCipherSuite パラメーターを追加します。

   SSLCipherSuite "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:!SHA1:!SHA256"

   この例では、EECDH+AESGCM、EDH+AESGCM、AES256+EECDH、および AES256+EDH 暗号のみを有効にし、SHA1 および SHA256 メッセージ認証コード (MAC) を使用するすべての暗号を無効にします。

2. httpd サービスを再起動します。

   # systemctl restart httpd

検証手順

1. Apache HTTP Server が対応する暗号化のリストを表示するには、以下を行います。

   1. nmap パッケージをインストールします。

      # dnf install nmap

   2. nmap ユーティリティーを使用して、対応している暗号を表示します。

      # nmap --script ssl-enum-ciphers -p 443 example.com
      ...
      PORT    STATE SERVICE
      443/tcp open  https
      | ssl-enum-ciphers:
      |   TLSv1.2:
      |     ciphers:
      |       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
      |       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 2048) - A
      |       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
      ...