Cara Mengaktifkan TLS 1.3 di Apache pada CentOS 8

• Persyaratan
• Sebelum kamu memulai
• Instal klien acme.sh dan dapatkan sertifikat TLS dari Let's Encrypt
• Instal Apache
• Konfigurasikan Apache untuk TLS 1.3

TLS 1.3 adalah versi protokol Transport Layer Security (TLS) yang diterbitkan pada 2018 sebagai standar yang diusulkan dalam RFC 8446. Ia menawarkan peningkatan keamanan dan kinerja melebihi pendahulunya.

Panduan ini akan menunjukkan cara mengaktifkan TLS 1.3 menggunakan server web Apache pada CentOS 8.

Persyaratan

• Contoh Vultr Cloud Compute (VC2) yang menjalankan CentOS 8.
• Nama domain yang valid dan catatan A/ AAAA/ CNAMEDNS yang dikonfigurasi dengan benar untuk domain Anda.
• Sertifikat TLS yang valid. Kami akan mendapatkannya dari Let's Encrypt.
• Versi Apache 2.4.36atau lebih tinggi.
• Versi OpenSSL 1.1.1atau lebih tinggi.

Sebelum kamu memulai

Periksa versi CentOS.

cat /etc/centos-release
# CentOS Linux release 8.0.1905 (Core)

Buat non-rootakun pengguna baru dengan sudoakses dan alihkan ke sana.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

CATATAN: Ganti johndoedengan nama pengguna Anda.

Siapkan zona waktu.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Pastikan sistem Anda mutakhir.

sudo yum update

Instal paket yang dibutuhkan.

sudo yum install -y socat git

Nonaktifkan SELinux dan Firewall.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Instal acme.shklien dan dapatkan sertifikat TLS dari Let's Encrypt

Instal acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

Periksa versinya.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Dapatkan sertifikat RSA dan ECDSA untuk domain Anda.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

CATATAN: Ganti example.comperintah dengan nama domain Anda.

Buat direktori yang masuk akal untuk menyimpan sertifikat dan kunci Anda. Kami akan menggunakan /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Instal dan salin sertifikat ke / etc / letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Setelah menjalankan perintah di atas, sertifikat dan kunci Anda akan berada di lokasi berikut:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Instal Apache

Apache menambahkan dukungan untuk TLS 1.3 dalam versi 2.4.36. Sistem CentOS 8 hadir dengan Apache dan OpenSSL yang mendukung TLS 1.3, sehingga tidak perlu membuat versi khusus.

Unduh dan pasang Apache versi 2.4 terbaru dan modulnya untuk SSL melalui yummanajer paket.

sudo yum install -y httpd mod_ssl

Periksa versinya.

sudo httpd -v
# Server version: Apache/2.4.37 (centos)
# Server built:   Jul  30 2019 19:56:12

Mulai dan aktifkan Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Konfigurasikan Apache untuk TLS 1.3

Sekarang kami telah berhasil menginstal Apache, kami siap mengkonfigurasinya untuk mulai menggunakan TLS 1.3 di server kami.

Jalankan sudo vim /etc/httpd/conf.d/example.com.conf, dan isi file dengan konfigurasi dasar berikut.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Simpan file dan keluar dengan :+ W+ Q.

Periksa konfigurasi.

sudo apachectl configtest

Muat ulang Apache untuk mengaktifkan konfigurasi baru.

sudo systemctl reload httpd.service

Buka situs Anda melalui protokol HTTPS di browser web Anda. Untuk memverifikasi TLS 1.3, Anda dapat menggunakan alat pengembang browser atau layanan SSL Labs. Tangkapan layar di bawah ini menunjukkan tab keamanan Chrome dengan TLS 1.3 beraksi.

Anda telah berhasil mengaktifkan TLS 1.3 di Apache pada server CentOS 8 Anda. Versi final TLS 1.3 ditetapkan pada Agustus 2018, jadi tidak ada waktu yang lebih baik untuk mulai mengadopsi teknologi baru ini.