Como ativar o TLS 1.3 no Apache no Debian 10

• Exigências
• Antes de você começar
• Instale o cliente acme.sh e obtenha um certificado TLS em Let's Encrypt
• Instale o Apache
• Configurar o Apache para TLS 1.3

O TLS 1.3 é uma versão do protocolo TLS (Transport Layer Security) publicada em 2018 como um padrão proposto na RFC 8446. Oferece melhorias de segurança e desempenho em relação aos seus antecessores.

Este guia demonstrará como habilitar o TLS 1.3 usando o servidor Apache na Debian 10.

Exigências

• Instância do Vultr Cloud Compute (VC2) executando o Debian 10 (Buster).
• Um nome de domínio válido e registros DNS / A/ configurados corretamente para seu domínio.AAAACNAME
• Um certificado TLS válido. Obteremos um do Let's Encrypt.
• Versão Apache 2.4.36ou superior.
• Versão OpenSSL 1.1.1ou superior.

Antes de você começar

Verifique a versão do Debian.

lsb_release -ds
# Debian GNU/Linux 10 (buster)

Crie uma nova non-rootconta de usuário com sudoacesso e mude para ela.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

NOTA : Substitua johndoepelo seu nome de usuário .

Configure o fuso horário.

sudo dpkg-reconfigure tzdata

Verifique se o seu sistema está atualizado.

sudo apt update && sudo apt upgrade -y

Instale os pacotes necessários.

sudo apt install -y zip unzip curl wget git socat

Instale o acme.shcliente e obtenha um certificado TLS em Let's Encrypt

Instale acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

Verifique a versão.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Obtenha certificados RSA e ECDSA para o seu domínio.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

NOTA: Substitua example.comnos comandos pelo seu nome de domínio.

Crie diretórios sensatos para armazenar seus documentos e chaves. Nós usaremos /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Instale e copie certificados para / etc / letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Depois de executar os comandos acima, seus certificados e chaves estarão nos seguintes locais:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Instale o Apache

O Apache adicionou suporte ao TLS 1.3 na versão 2.4.36. O sistema Debian 10 vem com Apache e OpenSSL que suportam o TLS 1.3 imediatamente, portanto não há necessidade de construir uma versão personalizada.

Faça o download e instale a ramificação 2.4 mais recente do Apache através do aptgerenciador de pacotes.

sudo apt install -y apache2

Verifique a versão.

sudo apache2 -v
# Server version: Apache/2.4.38 (Debian)
# Server built:   2019-04-07T18:15:40

Configurar o Apache para TLS 1.3

Agora que instalamos o Apache com sucesso, estamos prontos para configurá-lo para começar a usar o TLS 1.3 em nosso servidor.

Primeiro, ative o módulo SSL.

sudo a2enmod ssl

Reinicie o Apache.

sudo systemctl restart apache2

Execute sudo vim /etc/apache2/sites-available/example.com.confe preencha o arquivo com a seguinte configuração básica.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Salve o arquivo e saia.

Ative o novo arquivo de configuração vinculando o arquivo ao sites-enableddiretório

sudo a2ensite example.com.conf

Verifique a configuração.

sudo apachectl configtest

Recarregue o Apache.

sudo systemctl reload apache2

Abra seu site via protocolo HTTPS no seu navegador da web. Para verificar o TLS 1.3, você pode usar as ferramentas de desenvolvimento do navegador ou o serviço SSL Labs. As capturas de tela abaixo mostram a guia de segurança do Chrome com o TLS 1.3 em ação.

Você ativou o TLS 1.3 com sucesso no Apache no seu servidor Debian 10. A versão final do TLS 1.3 foi definida em agosto de 2018, portanto, não há melhor momento para começar a adotar esta nova tecnologia.