인증서 교체가 완료되었네요
2017.09.03 01:02
SSLv3랑 3DES도 끄면 더 좋을것같습니다.
댓글 [5]
-
DarknessAngel 2017.09.03 05:24
-
DarknessAngel 2017.09.03 08:58
정정 : 추천 cipher
ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:!RSA+AES:!aNULL:!MD5:!DSS:!DHE:!kEDH:HIGH:!eNULL:!EXPORT:!DES:!RC4:!PSK:!AECDH:!LOW:!SRP:!ADH:!RSA:TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-128-GCM-SHA256:TLS13-AES-256-GCM-SHA384:!COMPLEMENTOFDEFAULT;
-
gooddew 2017.09.03 12:15
조언 감사합니다.
관련 내용 조치 해보겠습니다.
-
DarknessAngel 2017.09.05 05:02
이번 기회에 HTTPS만 되게 https쪽은 301 redirect등으로 https로 연결하시고, 혼합된 컨텐츠 제거를 위해서 favicon등의 일부 이미지 파일 경로가 https로 된것도 https로 수정하시길 추천합니다 (가능하다면 서버 잠시 끈후 db통째로 백업해서 sql에서 https://windowsforum.kr검색해서 죄다 https로 교체하는 방법을 추천합니다)
인증서 재발급및 교체 당장에 다시 할만큼 급한 사한은 아니지만, OCSP쓰신다면 OCSP Must Staple적용을 하시길 추천합니다 (클라 쓰시는경우 자체 파라메터 스위치, 저처럼 사정이 있어서 수동인 경우는 conf의 v3_req에 1.3.6.1.5.5.7.1.24 = DER:30:03:02:01:05 1라인 추가한후 발급하면 됩니다)
XP + IE같은 구클라 고려하시는게 아니라면 Forward Security 안 되는 Cipher는 다 제거하시길 추천합니다
Certificate Transparency, CAA는 아직 보편적인게 아니라 적용할려면 까탈스러우니 일단은 내버려두시고, OCSP stapling정도는 적용하시고, HTTTP/2도 적용해주세요
HPKP도 적용 추천드리며, HSTS는 Let's Encrypt처럼 인증서가 자주 바뀌는 경우 절.대. 적용 하시면 안 됩니다 (지금 age 0로 고쳐주세요) (안 그러면 인증서 갱신될때마다 대량의 접속 불가를 호소하는 게시물이 도배될껍니다) (HSTS 제거하면 A+ -> A가 될껀데, 유료가 아닌 Let's Encrypt를 쓰는 이상 현시점에서 별 수 없습니다)
-
gooddew 2017.09.05 21:19
조언 감사합니다. 적용해보도록 하겠습니다.
지금 저도 확인해봤습니다 (보안 부분 꽤 고쳐졌군요)
1. let's encrypt말고 잡히는 localhost용 도메인 제거를 추천합니다
2. SSL3 끄는걸 추천합니다
3. 3des끄는걸 추천합니다 (어차피 SNI쓰면 xp + ie 접속 불가능하므로 굳이 지원할 이유 없음)
4. xp + ie를 무시하면 현 시점에서 추천되는 cipher는 ECDH+AESGCM:ECDH+AES256:ECDH+AES128:!aNULL:!MD5:!DSS:!DHE:!kEDH:HIGH:!eNULL:!EXPORT:!DES:!RC4:!PSK:!AECDH:!LOW:!SRP:!ADH:!CAMELLIA:!DH:!AES256-GCM-SHA384:!AES256-SHA256:!AES256-SHA:!AES128-GCM-SHA256:!AES128-SHA256:!AES128-SHA:TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-128-GCM-SHA256:TLS13-AES-256-GCM-SHA384:!COMPLEMENTOFDEFAULT입니다 (TLS 1.3을 안 쓰는경우 TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-128-GCM-SHA256:TLS13-AES-256-GCM-SHA384를 제거해주세요)
5, 너무 구버전인 2.2.15를 쓰고 있는데, 보안및 성능적 측면에서 업데이트를 추천합니다
6. HPKP, OCSP 사용을 추천합니다 (3개월마다 교체되는 인증서 특징상 HSTS는 무리니 패스~)
추신 : 지금 돌려보니 C 뜨는데, 이정도 하면 A뜨고, HSTS까지 쓰면 A+ 뜹니다