Hardening TLS: версии протокола, cipher suites и проверка настроек

Сначала найдите TLS-терминатор

TLS-терминатор — компонент, который участвует в TLS handshake, выбирает версию протокола, набор шифров и отдаёт TLS-сертификат. Он может находиться перед приложением: например, на CDN, reverse proxy, L7-балансировщике или отдельном шлюзе API. В таком случае изменение Nginx, Apache или приложения на бэкенде не изменит свойства внешнего endpoint.

Какие версии TLS разрешить

Краткий ответ на вопрос «TLS или SSL»: для рабочих конфигураций выбирают TLS, а SSL — устаревшее семейство протоколов. На вопрос «TLS 1.2 или TLS 1.3» ответ обычно «TLS 1.2 и TLS 1.3»: первая версия нужна для совместимости с ещё поддерживаемыми клиентами, вторая — предпочтительна там, где поддержана сервером и клиентом. Принцип работы сертификатов, цепочек доверия и mTLS разобран в статье «TLS-сертификаты на сервере: как работают и какой выбрать».

TLS cipher suites: почему TLS 1.2 и TLS 1.3 настраиваются отдельно

Набор шифров TLS 1.2 описывает больше параметров согласования, чем TLS 1.3. В TLS 1.3 наборы имеют другую модель и ограниченный современный состав; обмен ключами и аутентификация согласуются отдельно. Поэтому список cipher suites, заданный для TLS 1.2, обычно не управляет наборами TLS 1.3. Доступность TLS 1.3 и методы его настройки определяют версия веб-сервера, сборка и используемая криптобиблиотека, в частности OpenSSL.

• Не составляйте политику копированием «идеального» списка из блога: синтаксис и доступные алгоритмы различаются между Nginx, Apache, OpenSSL и Schannel.
• Исключайте анонимные (aNULL), экспортные (EXPORT), NULL-наборы (eNULL), RC4 и иные устаревшие либо запрещённые вашим стеком алгоритмы.
• Для TLS 1.2 обычно оставляют современные AEAD-наборы с AES-GCM или ChaCha20-Poly1305 и обменом ключами, который поддерживает прямую секретность, например ECDHE при наличии поддержки клиентом и сервером.
• Проверяйте не только перечень в конфигурации, но и реально согласуемые параметры. Успешный reload не означает, что слабый набор перестал предлагаться.
• При выборе учитывайте корпоративную криптополитику, требования регулятора, тип сертификата, состав клиентов и версию библиотеки.

Примеры ограничения TLS в Nginx, Apache и IIS

Nginx

В Nginx версии протокола ограничивают директивой ssl_protocols, а наборы TLS 1.2 и более ранних версий — ssl_ciphers. Если несколько блоков server используют один адрес и порт, ssl_protocols следует задавать на уровне http либо в default_server соответствующего listen: изменение только произвольного виртуального сервера может не определить версию протокола для всего сокета. Параметр TLSv1.3 поддерживается Nginx начиная с 1.13.0 при сборке с OpenSSL 1.1.1 или другой совместимой библиотекой; одна директива ssl_protocols TLSv1.3 не добавит поддержку в старую сборку. ssl_ciphers не управляет наборами TLS 1.3. В поддерживаемых версиях отдельные параметры OpenSSL можно передавать через ssl_conf_command, если это допускают Nginx и используемая криптобиблиотека.

server {
    listen 443 ssl;
    server_name api.example.com;

    ssl_protocols TLSv1.2 TLSv1.3;

    # Пример принципа для TLS 1.2 и ниже.
    # Точный список выбирают по версии OpenSSL и требованиям клиентов.
    ssl_ciphers 'ECDHE+AESGCM:ECDHE+CHACHA20';
    ssl_prefer_server_ciphers on;

    # Настройка TLS 1.3 не задаётся через ssl_ciphers.
    # При поддержке версии Nginx/OpenSSL может потребоваться
    # отдельная настройка OpenSSL через ssl_conf_command.

    ssl_certificate     /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;
}

nginx -t

Apache HTTP Server с mod_ssl

В Apache HTTP Server с mod_ssl версии обычно ограничивают директивой SSLProtocol, например запрещая все и явно разрешая TLS 1.2 и TLS 1.3. Наборы TLS 1.2 и более ранних версий задаёт SSLCipherSuite. В выпусках Apache, поддерживающих протокольный параметр этой директивы, наборы TLS 1.3 задают отдельно через SSLCipherSuite TLSv1.3 ...; некоторые сочетания Apache и OpenSSL также позволяют передать параметр Ciphersuites через SSLOpenSSLConfCmd. Возможность использовать TLS 1.3 и конкретный синтаксис зависят от версии Apache, mod_ssl и библиотеки с поддержкой TLS 1.3, обычно OpenSSL 1.1.1 или совместимой.

<VirtualHost *:443>
    ServerName api.example.com
    SSLEngine on

    SSLProtocol -all +TLSv1.2 +TLSv1.3

    # Пример принципа для TLS 1.2 и более ранних версий.
    SSLCipherSuite ECDHE+AESGCM:ECDHE+CHACHA20

    # Применяйте только если ваша версия Apache документирует
    # протокольный параметр SSLCipherSuite.
    # SSLCipherSuite TLSv1.3 TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256

    SSLCertificateFile /path/to/cert.pem
    SSLCertificateKeyFile /path/to/key.pem
</VirtualHost>

apachectl configtest

IIS, HTTP.sys и Schannel в Windows Server

IIS принимает HTTPS через HTTP.sys, а криптографические протоколы и cipher suites предоставляет Schannel. Поэтому настройки TLS не сводятся к параметрам сайта IIS: разрешённые протоколы Schannel обычно задаются на уровне ОС в ветви SCHANNEL\Protocols, а порядок cipher suites — политикой SSL Cipher Suite Order. Эти изменения могут затрагивать и другие службы Windows, использующие Schannel.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\
  TLS 1.0\Server
  TLS 1.0\Client
  TLS 1.1\Server
  TLS 1.1\Client
  TLS 1.2\Server
  TLS 1.2\Client
  TLS 1.3\Server
  TLS 1.3\Client

Типичные значения DWORD для конкретного протокола и роли:
  Enabled
  DisabledByDefault

Для серверной роли важен подраздел Server; Client влияет на исходящие соединения самого сервера. Не создавайте ключи TLS 1.3 по шаблону, если выпуск Windows Server и Schannel не документируют такую настройку: поддержка TLS 1.3 и её управляемость различаются между версиями Windows. Доменные GPO, обновления Windows, локальная криптографическая политика и порядок cipher suites могут переопределить локальные значения. После изменения Schannel обычно требуется перезагрузка системы, а не только restart IIS.

Безопасный порядок изменения TLS-политики

Как проверить TLS-версию, SNI, сертификат и cipher suite через OpenSSL

Утилита OpenSSL позволяет принудительно предложить конкретную версию TLS и передать имя через SNI. Ключ -servername особенно важен на общих IP: без него сервер может выбрать сертификат и политику default virtual host. Доступные флаги, наборы шифров и формат вывода зависят от версии OpenSSL; сначала посмотрите локальную справку openssl s_client -help.

openssl s_client -connect api.example.com:443 -servername api.example.com -tls1_2 -verify_hostname api.example.com -verify_return_error

openssl s_client -connect api.example.com:443 -servername api.example.com -tls1_3

openssl s_client -connect api.example.com:443 -servername api.example.com -tls1

openssl s_client -connect api.example.com:443 -servername api.example.com -tls1_1

openssl s_client -connect api.example.com:443 -servername api.example.com -tls1_2 -cipher 'ECDHE-RSA-AES128-GCM-SHA256'

openssl s_client -connect api.example.com:443 -servername api.example.com -tls1_3 -ciphersuites 'TLS_AES_128_GCM_SHA256'

SSL Labs и другие внешние сканеры: как читать результат

Qualys SSL Labs SSL Server Test удобен для публично доступного HTTPS-сервиса: он проверяет endpoint снаружи и показывает поддерживаемые протоколы, cipher suites, свойства сертификата, параметры обмена ключами и ряд известных проблем TLS-конфигурации. Он не подходит для внутренних endpoint, недоступных из интернета, и не показывает политику бэкенда, скрытого за CDN или балансировщиком.

• Используйте отчёт как снимок реально доступного endpoint: найдите включённые TLS 1.0/1.1, слабые наборы, неожиданный сертификат, отсутствие SNI-ожидаемого virtual host и предупреждения по известным атакам.
• Сверяйте hostname, IP и время проверки: CDN, геораспределение и разные IPv4/IPv6-маршруты могут давать неодинаковый результат.
• Не считайте буквенный рейтинг единственным критерием безопасности. Высокая оценка не подтверждает отсутствие уязвимостей приложения, корректность логирования, защиту закрытого ключа или применимость всех предупреждений к вашей архитектуре.
• Каждую находку подтвердите вручную: конфигурацией TLS-терминатора, OpenSSL-тестом, журналами и документацией компонента. Проверка CVE и приоритизация исправлений относятся к статье «Управление уязвимостями сервера: CVE, сканирование и приоритизация».
• Для внутренних систем используйте сканер, который разрешено запускать из нужного сегмента, либо независимый клиент в той же сети. Сам факт недоступности SSL Labs не является ошибкой TLS.

Если проверка и конфигурация расходятся