Comment activer TLS 1.3 dans Apache sur Fedora 30

• Exigences
• Avant que tu commences
• Installez le client acme.sh et obtenez un certificat TLS de Let's Encrypt
• Installer Apache
• Configurer Apache pour TLS 1.3

TLS 1.3 est une version du protocole TLS (Transport Layer Security) qui a été publié en 2018 en tant que norme proposée dans la RFC 8446. Il offre des améliorations de sécurité et de performances par rapport à ses prédécesseurs.

Ce guide vous montrera comment activer TLS 1.3 à l'aide du serveur Web Apache sur Fedora 30.

Exigences

• Instance Vultr Cloud Compute (VC2) exécutant Fedora 30.
• Un nom de domaine valide et des enregistrements A/ AAAA/ CNAMEDNS correctement configurés pour votre domaine.
• Un certificat TLS valide. Nous en obtiendrons un de Let's Encrypt.
• Version Apache 2.4.36ou supérieure.
• Version OpenSSL 1.1.1ou supérieure.

Avant que tu commences

Vérifiez la version Fedora.

cat /etc/fedora-release
# Fedora release 30 (Thirty)

Créez un nouveau non-rootcompte utilisateur avec sudoaccès et passez-y.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

REMARQUE: remplacez johndoepar votre nom d'utilisateur.

Configurez le fuseau horaire.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Assurez-vous que votre système est à jour.

sudo dnf check-upgrade || sudo dnf upgrade -y

Installez les packages nécessaires.

sudo dnf install -y socat git

Désactivez SELinux et le pare-feu.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Installez le acme.shclient et obtenez un certificat TLS de Let's Encrypt

Installez acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

Vérifiez la version.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Obtenez des certificats RSA et ECDSA pour votre domaine.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

REMARQUE: remplacez les example.comcommandes par votre nom de domaine.

Créez des répertoires judicieux pour stocker vos certificats et clés. Nous utiliserons /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Installez et copiez les certificats dans /etc/letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Après avoir exécuté les commandes ci-dessus, vos certificats et clés seront dans les emplacements suivants:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Installer Apache

Apache a ajouté la prise en charge de TLS 1.3 dans la version 2.4.36. Le système Fedora 30 est livré avec Apache et OpenSSL qui prennent en charge TLS 1.3, il n'est donc pas nécessaire de créer une version personnalisée.

Téléchargez et installez la dernière branche 2.4 d'Apache et son module pour SSL via le dnfgestionnaire de paquets.

sudo dnf install -y httpd mod_ssl

Vérifiez la version.

sudo httpd -v
# Server version: Apache/2.4.39 (Fedora)
# Server built:   May  2 2019 14:50:28

Démarrez et activez Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Configurer Apache pour TLS 1.3

Maintenant que nous avons installé Apache avec succès, nous sommes prêts à le configurer pour commencer à utiliser TLS 1.3 sur notre serveur.

Exécutez sudo vim /etc/httpd/conf.d/example.com.confet remplissez le fichier avec la configuration de base suivante.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Enregistrez le fichier et quittez.

Vérifiez la configuration.

sudo apachectl configtest

Rechargez Apache pour activer la nouvelle configuration.

sudo systemctl reload httpd.service

Ouvrez votre site via le protocole HTTPS dans votre navigateur Web. Pour vérifier TLS 1.3, vous pouvez utiliser les outils de développement du navigateur ou le service SSL Labs. Les captures d'écran ci-dessous montrent l'onglet de sécurité de Chrome avec TLS 1.3 en action.

Vous avez correctement activé TLS 1.3 dans Apache sur votre serveur Fedora 30. La version finale de TLS 1.3 a été définie en août 2018, il n'y a donc pas de meilleur moment pour commencer à adopter cette nouvelle technologie.