SSLと安全な暗号を使用してNginxを利用したWebサイトを保護する方法

• 前書き
• はじめに

前書き

SSL（Secure Sockets Layerの略）とその後継であるTLS（Transport Layer Securityの略）は、インターネット上の通信を保護するための暗号化プロトコルです。Webサイトへの安全な接続を作成するために使用できます。

はじめに

NginxとOpenSSLがサーバーにインストールされていることを確認します。この記事では、自己署名SSL証明書を生成することによってプロセスを示します。

手順1：証明書と秘密キーのディレクトリを作成する

/ etc / nginx内にディレクトリを作成（および入力）します（そのディレクトリがNginxの構成ディレクトリであると想定）。

sudo mkdir /etc/nginx/ssl
cd /etc/nginx/ssl # we'll perform our next few steps in this dir

ステップ2：秘密鍵とCSRを作成する

まず、サイトの秘密鍵を作成します。この例では、セキュリティを強化するために4096ビットのキーを使用します。2048ビットも安全ですが、1024ビットの秘密鍵は使用しないでください。

sudo openssl genrsa -out example.com.key 4096

次に、証明書に署名するための証明書署名要求（CSR）を作成します。512ビットのSHA-2を使用します。-sha512オプションに注意してください。

sudo openssl req -new -key example.com.key -out example.com.csr -sha512

入力が必要なフィールドのリストが表示Common Nameされます。ドメイン名が設定されていることを確認してください！また、空白のままにA challenge passwordしAn optional company nameます。

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:CA
Locality Name (eg, city) []:LosAngeles
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Inc
Organizational Unit Name (eg, section) []:Security
Common Name (e.g. server FQDN or YOUR name) []:*.example.com
Email Address []:[email protected]

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

ステップ3：証明書に署名する

ほぼ完了しました！署名するだけです。365（365日後に期限切れ）を希望する日数に置き換えることを忘れないでください。

sudo openssl x509 -req -days 365 -in example.com.csr -signkey example.com.key -out example.com.crt -sha512

これで、自己署名証明書の作成が完了しました。

ステップ4：セットアップ

NginxのサンプルSSL構成ファイルを開きます。

sudo nano /etc/nginx/conf.d/example_ssl.conf

HTTPS Serverという行の下のセクション内のコメントを外します。設定を以下の情報と一致させexample.com、server_name行のをドメイン名またはIPアドレスに置き換えます。また、ルートディレクトリを設定します。

# HTTPS server

server {
    listen       443 ssl;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ecdh_curve secp384r1;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK:!RC4; # no RC4 and known insecure cipher
location / {
  root   /usr/share/nginx/html;
  index  index.html index.htm;
 }
}

次に、Nginxを再起動します。

service nginx restart

次に、httpsアドレス（https://your.address.tld）を使用してWebサイトにアクセスします。Webブラウザーに、自己署名証明書を使用した安全な接続が表示されます。