web-dev-qa-db-ja.com

Apache 2.4仮想ホストでRC4暗号化を無効にし、引き続き利用可能

Apache 2.4では、私の仮想ホストには次のものが含まれています。

SSLCertificateFile /etc/letsencrypt/live/qualification.teamagora.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/qualification.teamagora.com/privkey.pem
SSLProtocol             all -SSLv2 -SSLv3
SSLCipherSuite          HIGH:MEDIUM
SSLHonorCipherOrder     on
SSLCompression          off

rC4暗号化を無効にする必要があります。

それにもかかわらず、SSLLabsは、次の暗号化が利用可能であることを示しています。

TLS_RSA_WITH_RC4_128_MD5 (0x4)           INSECURE   128
TLS_RSA_WITH_RC4_128_SHA (0x5)           INSECURE   128
TLS_ECDHE_RSA_WITH_RC4_128_SHA (0xc011)  INSECURE   128

RC4を完全に非アクティブ化できるのはどこですか？

Vhost構成ファイルが考慮されないのはなぜですか（サービスApache2を再起動しました）

apache-http-serversslopensslletsencrypt
1
Stéphane V

SSLCipherSuiteはRC4を無効にしません。それはもっと似ているはずです：

SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:!RC4:+HIGH:+MEDIUM:+LOW

安全なTLS構成は、RC4を無効にするだけではないため、Mozillaの 推奨構成 に従う必要があります。この記事には、サーバーおよびブラウザーの種類ごとに適切な暗号スイートを簡単に構成できる Mozilla SSL Configuration Generator へのリンクがあります。

4
harrymc