Cara Mengaktifkan TLS 1.3 di Apache pada FreeBSD 12

• Persyaratan
• Sebelum kamu memulai
• Instal klien acme.sh dan dapatkan sertifikat TLS dari Let's Encrypt
• Instal Apache
• Konfigurasikan Apache untuk TLS 1.3

TLS 1.3 adalah versi protokol Transport Layer Security (TLS) yang diterbitkan pada 2018 sebagai standar yang diusulkan dalam RFC 8446 . Ini menawarkan peningkatan keamanan dan kinerja dibandingkan pendahulunya.

Panduan ini akan menunjukkan cara mengaktifkan TLS 1.3 menggunakan server web Apache di FreeBSD 12.

Persyaratan

• Contoh Vultr Cloud Compute (VC2) menjalankan FreeBSD 12.
• Nama domain yang valid dan catatan A/ AAAA/ CNAMEDNS yang dikonfigurasi dengan benar untuk domain Anda.
• Sertifikat TLS yang valid. Kami akan mendapatkannya dari Let's Encrypt.
• Versi Apache 2.4.36atau lebih tinggi.
• Versi OpenSSL 1.1.1atau lebih tinggi.

Sebelum kamu memulai

Periksa versi FreeBSD.

uname -ro
# FreeBSD 12.0-RELEASE

Pastikan sistem FreeBSD Anda mutakhir.

freebsd-update fetch install
pkg update && pkg upgrade -y

Instal paket yang diperlukan jika tidak ada di sistem Anda.

pkg install -y sudo vim unzip wget bash socat git

Buat akun pengguna baru dengan nama pengguna pilihan Anda (kami akan gunakan johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Jalankan visudoperintah dan batalkan komentar pada %wheel ALL=(ALL) ALLbaris untuk memungkinkan anggota wheelgrup untuk mengeksekusi perintah apa pun.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Sekarang, beralihlah ke pengguna yang baru dibuat dengan su.

su - johndoe

CATATAN: Ganti johndoedengan nama pengguna Anda.

Siapkan zona waktu.

sudo tzsetup

Instal acme.shklien dan dapatkan sertifikat TLS dari Let's Encrypt

Instal acme.sh.

sudo pkg install -y acme.sh

Periksa versinya.

acme.sh --version
# v2.7.9

Dapatkan sertifikat RSA dan ECDSA untuk domain Anda.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

CATATAN: Ganti example.comperintah dengan nama domain Anda.

Buat direktori yang masuk akal untuk menyimpan sertifikat dan kunci Anda. Kami akan menggunakan /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Pasang dan salin sertifikat ke /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Setelah menjalankan perintah di atas, sertifikat dan kunci Anda akan berada di lokasi berikut:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Instal Apache

Apache menambahkan dukungan untuk TLS 1.3 dalam versi 2.4.36. Sistem FreeBSD 12 hadir dengan Apache dan OpenSSL yang mendukung TLS 1.3, sehingga tidak perlu membuat versi khusus.

Unduh dan instal cabang 2.4 terbaru dari Apache melalui pkgmanajer paket.

sudo pkg install -y apache24

Periksa versinya.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Mulai dan aktifkan Apache.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Konfigurasikan Apache untuk TLS 1.3

Sekarang kami telah berhasil menginstal Apache, kami siap mengkonfigurasinya untuk mulai menggunakan TLS 1.3 di server kami.

CATATAN: Dalam FreeBSD, mod_sslmodul ini diaktifkan secara default di paket dan port

Jalankan sudo vim /usr/local/etc/apache24/httpd.confdan sertakan modul SSL dengan membatalkan komentar LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Jalankan sudo vim /usr/local/etc/apache24/Includes/example.com.conf, dan isi file dengan konfigurasi dasar berikut.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Simpan file dan keluar dengan :+ W+ Q.

Periksa konfigurasi.

sudo service apache24 configtest

Muat ulang Apache.

sudo service apache24 reload

Buka situs Anda melalui protokol HTTPS di browser web Anda. Untuk memverifikasi TLS 1.3, Anda dapat menggunakan alat pengembang browser atau layanan SSL Labs. Tangkapan layar di bawah ini menunjukkan tab keamanan Chrome dengan TLS 1.3 beraksi.

Anda telah berhasil mengaktifkan TLS 1.3 di Apache di server FreeBSD Anda. Versi final TLS 1.3 ditetapkan pada Agustus 2018, jadi tidak ada waktu yang lebih baik untuk mulai mengadopsi teknologi baru ini.