_ セキュリティ

Qualys社のサイトでSSLの設定が安全か確認できる。

やってみたら、BEASTとCRIME/compressionがNGだった。

それでも80点は取れてるので、まぁまぁなんだけどね。

_ 設定

NGぐらいは消しておきたいので（;´Д｀）

まずはBEASTの対応。

Cipherの設定を推奨の↓に変更。

SSLHonorCipherOrder On
SSLCipherSuite ECDHE-RSA-AES128-SHA256:AES128-GCM-SHA256:RC4:HIGH:!MD5:!aNULL:!EDH

_ CRIME/compression

2.2系のApacheの場合、デフォルトでは設定じゃどうにも出来ない。

compressionをOffに出来るようにするにはパッチが必要。

Qualys社の情報からここを見て、ApacheのBugTrackに辿り着く。

ここでようやくr1395231のパッチ発見。

Backport予定の2.2.24はまだ出てこないので、このパッチを2.2.23に当てる。

で、httpd-ssl.confに「SSLCompression Off」を追記して完了。

_ 結果

91点になりましたとさ。

あとはTLSが1.1/1.2とかApache+OpenSSLじゃ㍉

IISで頑張って下さい（;´Д｀）