Cara Mengaktifkan TLS 1.3 di Apache pada Debian 10

• Persyaratan
• Sebelum kamu memulai
• Instal klien acme.sh dan dapatkan sertifikat TLS dari Let's Encrypt
• Instal Apache
• Konfigurasikan Apache untuk TLS 1.3

TLS 1.3 adalah versi protokol Transport Layer Security (TLS) yang diterbitkan pada 2018 sebagai standar yang diusulkan dalam RFC 8446. Ia menawarkan peningkatan keamanan dan kinerja melebihi pendahulunya.

Panduan ini akan menunjukkan cara mengaktifkan TLS 1.3 menggunakan server web Apache pada Debian 10.

Persyaratan

• Contoh Vultr Cloud Compute (VC2) menjalankan Debian 10 (Buster).
• Nama domain yang valid dan catatan A/ AAAA/ CNAMEDNS yang dikonfigurasi dengan benar untuk domain Anda.
• Sertifikat TLS yang valid. Kami akan mendapatkannya dari Let's Encrypt.
• Versi Apache 2.4.36atau lebih tinggi.
• Versi OpenSSL 1.1.1atau lebih tinggi.

Sebelum kamu memulai

Periksa versi Debian.

lsb_release -ds
# Debian GNU/Linux 10 (buster)

Buat non-rootakun pengguna baru dengan sudoakses dan alihkan ke sana.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

CATATAN : Ganti johndoedengan nama pengguna Anda .

Siapkan zona waktu.

sudo dpkg-reconfigure tzdata

Pastikan sistem Anda mutakhir.

sudo apt update && sudo apt upgrade -y

Instal paket yang dibutuhkan.

sudo apt install -y zip unzip curl wget git socat

Instal acme.shklien dan dapatkan sertifikat TLS dari Let's Encrypt

Instal acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

Periksa versinya.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Dapatkan sertifikat RSA dan ECDSA untuk domain Anda.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

CATATAN: Ganti example.comperintah dengan nama domain Anda.

Buat direktori yang masuk akal untuk menyimpan sertifikat dan kunci Anda. Kami akan menggunakan /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Instal dan salin sertifikat ke / etc / letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Setelah menjalankan perintah di atas, sertifikat dan kunci Anda akan berada di lokasi berikut:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Instal Apache

Apache menambahkan dukungan untuk TLS 1.3 dalam versi 2.4.36. Sistem Debian 10 dilengkapi dengan Apache dan OpenSSL yang mendukung TLS 1.3 di luar kotak, sehingga tidak perlu membuat versi khusus.

Unduh dan instal cabang 2.4 terbaru dari Apache melalui aptmanajer paket.

sudo apt install -y apache2

Periksa versinya.

sudo apache2 -v
# Server version: Apache/2.4.38 (Debian)
# Server built:   2019-04-07T18:15:40

Konfigurasikan Apache untuk TLS 1.3

Sekarang kami telah berhasil menginstal Apache, kami siap mengkonfigurasinya untuk mulai menggunakan TLS 1.3 di server kami.

Pertama, aktifkan modul SSL.

sudo a2enmod ssl

Mulai ulang Apache.

sudo systemctl restart apache2

Jalankan sudo vim /etc/apache2/sites-available/example.com.conf, dan isi file dengan konfigurasi dasar berikut.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Simpan file dan keluar.

Aktifkan file konfigurasi baru dengan menautkan file ke sites-enableddirektori.

sudo a2ensite example.com.conf

Periksa konfigurasi.

sudo apachectl configtest

Muat ulang Apache.

sudo systemctl reload apache2

Buka situs Anda melalui protokol HTTPS di browser web Anda. Untuk memverifikasi TLS 1.3, Anda dapat menggunakan alat pengembang browser atau layanan SSL Labs. Tangkapan layar di bawah ini menunjukkan tab keamanan Chrome dengan TLS 1.3 beraksi.

Anda telah berhasil mengaktifkan TLS 1.3 di Apache pada server Debian 10 Anda. Versi final TLS 1.3 ditetapkan pada Agustus 2018, jadi tidak ada waktu yang lebih baik untuk mulai mengadopsi teknologi baru ini.