TLS 1.3 è una versione del protocollo TLS (Transport Layer Security) che è stato pubblicato nel 2018 come standard proposto in RFC 8446 . Offre sicurezza e miglioramenti delle prestazioni rispetto ai suoi predecessori.
Questa guida mostrerà come abilitare TLS 1.3 usando il web server Nginx su Ubuntu 18.04 LTS.
Requisiti
- Versione Nginx
1.13.0
o successiva.
- Versione OpenSSL
1.1.1
o successiva.
- Istanza di Vultr Cloud Compute (VC2) che esegue Ubuntu 18.04.
- Un nome di dominio valido e record DNS
A
/ AAAA
/ correttamente configurati CNAME
per il tuo dominio.
- Un certificato TLS valido. Ne avremo uno da Let's Encrypt.
Prima di iniziare
Controlla la versione di Ubuntu.
lsb_release -ds
# Ubuntu 18.04.1 LTS
Crea un nuovo non-root
account utente con sudo
accesso e passa ad esso.
adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe
NOTA: sostituisci johndoe
con il tuo nome utente.
Imposta il fuso orario.
sudo dpkg-reconfigure tzdata
Assicurati che il tuo sistema sia aggiornato.
sudo apt update && sudo apt upgrade -y
Installare build-essential
, socat
e git
pacchetti.
sudo apt install -y build-essential socat git
Installa il client Acme.sh e ottieni il certificato TLS da Let's Encrypt
Scaricare e installare Acme.sh .
sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc
Controlla la versione
acme.sh --version
# v2.8.0
Ottieni i certificati RSA ed ECDSA per il tuo dominio.
# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256
NOTA: sostituisci i example.com
comandi con il tuo nome di dominio.
Dopo aver eseguito i comandi precedenti, i certificati e le chiavi saranno accessibili su:
- Per RSA:
/etc/letsencrypt/example.com
directory.
- Per ECC / ECDSA:
/etc/letsencrypt/example.com_ecc
directory.
Crea Nginx dalla fonte
Nginx ha aggiunto il supporto per TLS 1.3 nella versione 1.13.0. Sulla maggior parte delle distribuzioni Linux, incluso Ubuntu 18.04, Nginx è costruito con la versione OpenSSL precedente, che non supporta TLS 1.3. Di conseguenza, abbiamo bisogno della nostra build Nginx personalizzata collegata alla versione OpenSSL 1.1.1, che include il supporto per TLS 1.3.
Scarica l'ultima versione mainline del codice sorgente di Nginx ed estrailo.
wget https://nginx.org/download/nginx-1.15.5.tar.gz && tar zxvf nginx-1.15.5.tar.gz
Scarica il codice sorgente OpenSSL 1.1.1 ed estrailo.
# OpenSSL version 1.1.1
wget https://www.openssl.org/source/openssl-1.1.1.tar.gz && tar xzvf openssl-1.1.1.tar.gz
Elimina tutti i .tar.gz
file, poiché non saranno più necessari.
rm -rf *.tar.gz
Immettere la directory di origine Nginx.
cd ~/nginx-1.15.5
Configura, compila e installa Nginx. Per motivi di semplicità, compileremo solo i moduli essenziali necessari per il funzionamento di TLS 1.3. Se hai bisogno di una build completa di Nginx, puoi leggere questa guida Vultr sulla compilazione di Nginx.
./configure --prefix=/etc/nginx \
--sbin-path=/usr/sbin/nginx \
--modules-path=/usr/lib/nginx/modules \
--conf-path=/etc/nginx/nginx.conf \
--error-log-path=/var/log/nginx/error.log \
--pid-path=/var/run/nginx.pid \
--lock-path=/var/run/nginx.lock \
--user=nginx \
--group=nginx \
--build=Ubuntu \
--builddir=nginx-1.15.5 \
--http-log-path=/var/log/nginx/access.log \
--http-client-body-temp-path=/var/cache/nginx/client_temp \
--http-proxy-temp-path=/var/cache/nginx/proxy_temp \
--http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp \
--http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp \
--http-scgi-temp-path=/var/cache/nginx/scgi_temp \
--with-compat \
--with-http_ssl_module \
--with-http_v2_module \
--with-openssl=../openssl-1.1.1 \
--with-openssl-opt=no-nextprotoneg \
--without-http_rewrite_module \
--without-http_gzip_module
make
sudo make install
Crea un gruppo di sistemi e un utente Nginx.
sudo adduser --system --home /nonexistent --shell /bin/false --no-create-home --disabled-login --disabled-password --gecos "nginx user" --group nginx
Collegamento simbolico /usr/lib/nginx/modules
alla /etc/nginx/modules
directory. etc/nginx/modules
è un posto standard per i moduli Nginx.
sudo ln -s /usr/lib/nginx/modules /etc/nginx/modules
Crea directory cache Nginx e imposta le autorizzazioni appropriate.
sudo mkdir -p /var/cache/nginx/client_temp /var/cache/nginx/fastcgi_temp /var/cache/nginx/proxy_temp /var/cache/nginx/scgi_temp /var/cache/nginx/uwsgi_temp
sudo chmod 700 /var/cache/nginx/*
sudo chown nginx:root /var/cache/nginx/*
Controlla la versione di Nginx.
sudo nginx -V
# nginx version: nginx/1.15.5 (Ubuntu)
# built by gcc 7.3.0 (Ubuntu 7.3.0-27ubuntu1~18.04)
# built with OpenSSL 1.1.1 11 Sep 2018
# TLS SNI support enabled
# configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx . . .
# . . .
Crea il file di unità di sistema nginx.
sudo vim /etc/systemd/system/nginx.service
Popolare il file con la seguente configurazione.
[Unit]
Description=nginx - high performance web server
Documentation=https://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target
[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t -c /etc/nginx/nginx.conf
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID
[Install]
WantedBy=multi-user.target
Avvia e abilita Nginx.
sudo systemctl start nginx.service
sudo systemctl enable nginx.service
Creare conf.d
, sites-available
e sites-enabled
le directory in /etc/nginx
directory.
sudo mkdir /etc/nginx/{conf.d,sites-available,sites-enabled}
Esegui sudo vim /etc/nginx/nginx.conf
e aggiungi le due direttive seguenti alla fine del file, subito prima della chiusura }
.
. . .
. . .
include /etc/nginx/conf.d/*.conf;
include /etc/nginx/sites-enabled/*.conf;
}
Salvare il file e uscire con :+ W+ Q.
Ora che abbiamo creato con successo Nginx, siamo pronti a configurarlo per iniziare a utilizzare TLS 1.3 sul nostro server.
Esegui sudo vim /etc/nginx/conf.d/example.com.conf
e popola il file con la seguente configurazione.
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
# RSA
ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
# ECDSA
ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
}
Salvare il file e uscire con :+ W+ Q.
Si noti il nuovo TLSv1.3
parametro della ssl_protocols
direttiva. Questo parametro è necessario per abilitare TLS 1.3.
Controlla la configurazione.
sudo nginx -t
Ricarica Nginx.
sudo systemctl reload nginx.service
Per verificare TLS 1.3, è possibile utilizzare gli strumenti di sviluppo del browser o il servizio SSL Labs. Le schermate seguenti mostrano la scheda di sicurezza di Chrome che mostra che TLS 1.3 funziona.
Congratulazioni! TLS 1.3 è stato abilitato correttamente sul server Web Ubuntu 18.04.