Cómo habilitar TLS 1.3 en Apache en CentOS 8

• Requisitos
• Antes de que empieces
• Instale el cliente acme.sh y obtenga un certificado TLS de Let's Encrypt
• Instalar Apache
• Configurar Apache para TLS 1.3

TLS 1.3 es una versión del protocolo de Seguridad de la capa de transporte (TLS) que se publicó en 2018 como un estándar propuesto en RFC 8446. Ofrece mejoras de seguridad y rendimiento con respecto a sus predecesores.

Esta guía demostrará cómo habilitar TLS 1.3 usando el servidor web Apache en CentOS 8.

Requisitos

• Vultr Cloud Compute (VC2) instancia que ejecuta CentOS 8.
• Un nombre de dominio válido y A/ AAAA/ CNAMEregistros DNS configurados correctamente para su dominio.
• Un certificado TLS válido. Obtendremos uno de Let's Encrypt.
• Versión de Apache 2.4.36o superior.
• Versión OpenSSL 1.1.1o superior.

Antes de que empieces

Verifique la versión de CentOS.

cat /etc/centos-release
# CentOS Linux release 8.0.1905 (Core)

Cree una nueva non-rootcuenta de usuario con sudoacceso y cámbiela.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

NOTA: Reemplace johndoecon su nombre de usuario.

Configura la zona horaria.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Asegúrese de que su sistema esté actualizado.

sudo yum update

Instala los paquetes necesarios.

sudo yum install -y socat git

Deshabilitar SELinux y Firewall.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Instale el acme.shcliente y obtenga un certificado TLS de Let's Encrypt

Instalar acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

Mira esta versión.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Obtenga certificados RSA y ECDSA para su dominio.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

NOTA: Reemplace los example.comcomandos con su nombre de dominio.

Cree directorios razonables para almacenar sus certificados y claves. Los utilizaremos /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Instalar y copiar certificados a / etc / letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Después de ejecutar los comandos anteriores, sus certificados y claves estarán en las siguientes ubicaciones:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Instalar Apache

Apache agregó soporte para TLS 1.3 en la versión 2.4.36. El sistema CentOS 8 viene con Apache y OpenSSL que admiten TLS 1.3 de forma inmediata, por lo que no es necesario crear una versión personalizada.

Descargue e instale la última versión 2.4 de Apache y su módulo para SSL a través del yumadministrador de paquetes.

sudo yum install -y httpd mod_ssl

Mira esta versión.

sudo httpd -v
# Server version: Apache/2.4.37 (centos)
# Server built:   Jul  30 2019 19:56:12

Inicie y habilite Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Configurar Apache para TLS 1.3

Ahora que hemos instalado con éxito Apache, estamos listos para configurarlo para comenzar a usar TLS 1.3 en nuestro servidor.

Ejecute sudo vim /etc/httpd/conf.d/example.com.confy complete el archivo con la siguiente configuración básica.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Guarde el archivo y salga con :+ W+ Q.

Verifica la configuración.

sudo apachectl configtest

Vuelva a cargar Apache para activar la nueva configuración.

sudo systemctl reload httpd.service

Abra su sitio a través del protocolo HTTPS en su navegador web. Para verificar TLS 1.3, puede usar las herramientas de desarrollo del navegador o el servicio SSL Labs. Las capturas de pantalla a continuación muestran la pestaña de seguridad de Chrome con TLS 1.3 en acción.

Ha habilitado con éxito TLS 1.3 en Apache en su servidor CentOS 8. La versión final de TLS 1.3 se definió en agosto de 2018, por lo que no hay mejor momento para comenzar a adoptar esta nueva tecnología.