CentOSへのLogjam攻撃からのNGINXの保護

• サーバーを保護する方法
• あなたがする必要があること

さて、実際のところ、別のSSL脆弱性があります。技術的には、これは実際には脆弱性ではなく、SSL3の減価償却とSSL2の段階的調整の際に使用するプロトコルの内部の単なる「穴」です。

残念ながら、影響を受けるプロトコルが広く使用されているため、最近のほとんどのWebサーバーはこの攻撃に対して脆弱です。

このガイドでは、CentOS 6および7でサーバーを保護するために何をすべきかをカバーします。

サーバーを保護する方法

サーバーを保護するには2つの方法があります。このチュートリアルでは、最初のオプションのみを取り上げます。

1. 一意のキーグループを生成します。
2. SSLエクスポートキーを無効にします。

あなたがする必要があること

Qualys SSLチェッカーを使用して、サーバーが脆弱かどうかを確認します。サーバーが脆弱である場合、ページの上部にメッセージが表示されます。

サーバーが脆弱であることを確認したら、NGINXインストールディレクトリを入力します。

cd /etc/nginx/
mkdir keygroup
cd keygroup

次のコマンドを実行して、鍵グループを生成します。

openssl dhparam -out dhsecure.pem 2048

新しい鍵グループをNGINX構成に追加します。

cd /etc/nginx/
vi .conf

続けて、ssl_dhparam ...すべてのSSLサーバーブロックの内部に以下のコード行を追加する必要があります。それに応じてすべてのSSLサーバーブロックを更新します。

server {
listen 443 ssl;
...
location / {
...
ssl_dhparam /etc/nginx/keygroup/dhsecure.pem
...
}

構成を終了し、NGINXをリロードします。

service nginx reload

SSLチェッカーを使用してサーバーをもう一度テストします。サーバーは攻撃に対して脆弱ではなくなります。