1 - INTRODUCAOEncontrei diversos tutoriais ensinando como ativar o protocolo https no apache utilizando chaves autoassinadas. No entanto, a maioria deles nao leva em consideracao os cuidados a serem tomados em relacao a seguranca.Ativar o protocolo https ajuda, mas nao ter o minimo de atencao com o apache e nao utilizar chaves criptograficas realmente seguras, pode causar a falsa sensacao de seguranca.2 - SSL, TLS e RC4SSL - Secure Socket Layer - protocolo de criptografia amplamente utilizado para conexoes seguras https. No entanto devido as diversas falhas de seguranca encontradas, mesmo nas ultimas versoes, empresas como Google e Mozilla estao desativando o suporte em seus navegadores ao SSL 2 e 3 em favor do TLS (Transport Layer Security). Apesar de as novas versoes de navegadores desabilitarem o suporte ao SSL, e dever de quem fornece os servicos fazer sua parte no lado do servidor.TLS - Transport Layer Security e um protocolo semelhante ao SSL mas esta imune as falhas encontradas no SSL.RC4 - E um dos algoritmos utilizados em sistemas de criptografia como o SSL e o WEP (redes sem fio). Nao e considerado um algoritmo seguro.3 - CONFIGURACOES A SEREM ALTERADAS/ADICIONADAS NO APACHE.O suporte ao SSL e ao RC4 vem ativados por padrao no apache. Desative o suporte ao SSL 2 e SSL 3, e a algoritmos de criptografias ultrapassados acrecentando as linhas abaixo no arquivo de configuracao apache.conf (derivados debian) ou httpd.conf (derivados RedHat).SSLProtocol ALL -SSLv2 -SSLv3 #Desativa o suporte ao SSLv2 e SSLv3 SSLHonorCipherOrder on #Ao escolher o tipo de criptografia, normalmente a configuracao do cliente e utilizada. Se essa opcao esta ativa (on), a configuracao do servidor sera utilizada.SSLCipherSuite "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA EECDH EDH+aRSA !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !RC4"4 - SHA-1 e SHA-2Os algoritmos de hash SHA sao utilizados utilizados por Autoridades Certificadoras para assinar digitalmente os certificados emitidos. O SHA-1 e o mais utilizado, no entanto, diversas pesquisas apontam que ataques bem sucedidos ao SHA-1 tornam-se cada vez mais provaveis a medida que a capacidade de processamento dos computadores aumenta. Sendo assim, pretende-se estinguir-se o uso de certificados gerados em SHA-1 ate janeiro de 2017.Para quem utiliza um certificado em seu servidor gerado em SHA-1, tera que necessariamente substitui-lo por um gerado em SHA-2 mesmo que este ainda esteja dentro da validade. O google, por exemplo, anunciou recentemente que pretende adicionar alertas de seguranca em seu navegador para sites que utilizem certificados SHA-1 em conexoes seguras.A familia de algoritmos SHA-2 inclui seis funcoes de valores hash que sao conhecidos como: SHA-224, SHA-256, SHA-384, SHA-512, SHA-512/224, SHA-512/2565 - GERANDO UM CERTIFICADO AUTO ASSINADO SHA-2Voce pode gerar seu proprio certificado com SHA-2 auto assinado e adiciona-lo no apache. Gere o certificado com os comandos abaixo:#Gera o repositorio de chavesopenssl genrsa -out server.key 2048#Gera o novo certificado autoassinado utilizando o repositorio de chaves (Apos o comando entre com as informacoesde pais, estado, cidade, etc). Obs: Diminua o parametro -days para diminuir o tempo de validade do certificado.openssl req -x509 -nodes -days 3650 -new -sha256 -keyout server.key -out certificado.crt#Exibe informacoes do certificado.openssl