質問: tls 1.0、1.1、および1.2をサポートするためのapacheのsslciphersuite設定 単一のipアドレスを使用して複数のドメイン名を実行しているapache 2.4.7 webサーバーがあります。 poodleの脆弱性の結果として、次のsslciphersuite行を追加しました。しばらくは問題なく動作しましたが、ユーザーはfirefoxでのページへのアクセスに関する問題を報告しています。残念ながらユーザーにブラウザーの切り替えを依頼することはできないため、tls 1.0、1.1、および1.2をサポートするように設定を変更する必要があります。現在の設定は次のとおりです。<virtualhost zyx.xyz.org:443> documentroot /var/www/zyx.xyz/www servername zyx.xyz.org <directory "/var/www/zyx.xyz/"> allow from all options -indexes </directory> sslengine on sslciphersuite all:!adh:rc4+rsa:+high:+medium:-low:-sslv2:-sslv3:-exp:!kedh sslcertificatefile /etc/apache2/ssl/xyz.org.crt sslcertificatekeyfile /etc/apache2/ssl/xyz.org.key sslcacertificatefile /etc/apache2/ssl/gd_bundle-g2-g1.crt </virtualhost> qualys 'test を見ると、サーバーがtls 1.2のみをサポートしていることがわかります。tls 1.0、tls 1.1、およびtls 1.2を有効にして、サイトが古いブラウザーをサポートし、適切なレベルのセキュリティを維持できるようにするための適切な設定は何ですか?
回答: 私はこの推奨事項を cipherli.st で見つけました:sslciphersuite aes128+eecdh:aes128+edh sslprotocol all -sslv2 -sslv3 sslhonorcipherorder on header always set strict-transport-security "max-age=63072000; includesubdomains" header always set x-frame-options deny header always set x-content-type-options nosniff # requires apache >= 2.4 sslcompression off sslusestapling on sslstaplingcache "shmcb:logs/stapling-cache(150000)"