{"id":86701,"date":"2020-06-28T19:42:14","date_gmt":"2020-06-28T17:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition"},"modified":"2020-06-28T19:42:14","modified_gmt":"2020-06-28T17:42:14","slug":"uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","title":{"rendered":"Verbesserung der Sicherheitsparameter von SSL-Verbindungen in der Zimbra Collaboration Suite Open-Source Edition","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Zuverl\u00e4ssigkeit der Verschl\u00fcsselung ist eines der wichtigsten Kriterien bei der Nutzung von Informationssystemen f\u00fcr Unternehmen, da sie t\u00e4glich an der \u00dcbertragung gro\u00dfer Mengen vertraulicher Informationen beteiligt sind. Ein g\u00e4ngiges Instrument zur Bewertung der Qualit\u00e4t einer SSL-Verbindung ist der unabh\u00e4ngige Test von Qualys SSL Labs. Da dieser Test von jedermann durchgef\u00fchrt werden kann, ist es f\u00fcr SaaS-Anbieter besonders wichtig, dass ihre Bewertung in diesem Test maximal ist. Nicht nur SaaS-Anbieter sorgen f\u00fcr die Qualit\u00e4t der SSL-Verbindung, sondern auch gew\u00f6hnliche Unternehmen. F\u00fcr sie ist dieser Test eine hervorragende M\u00f6glichkeit, potenziell anf\u00e4llige Stellen zu identifizieren und rechtzeitig alle Schlupfl\u00f6cher f\u00fcr Cyberkriminelle zu schlie\u00dfen.<\/p>\n

\"Verbesserung<\/a><\/noindex>
\nIn Zimbra OSE sind zwei Arten zul\u00e4ssig SSL-Zertifikaten<\/a>. Die erste ist ein selbstsigniertes Zertifikat, das bei der Installation automatisch hinzugef\u00fcgt wird. Dieses Zertifikat ist kostenlos und zeitlich unbegrenzt, was es ideal f\u00fcr Tests von Zimbra OSE oder deren Nutzung ausschlie\u00dflich im Rahmen eines internen Netzwerks macht. Bei der Anmeldung am Web-Client sehen die Nutzer jedoch eine Warnung des Browsers, dass dieses Zertifikat unsicher ist, und der Test von Qualys SSL Labs wird Ihren Server eindeutig durchfallen lassen.<\/p>\n

Die zweite ist ein kommerzielles SSL-Zertifikat, das von einer Zertifizierungsstelle signiert wurde. Solche Zertifikate werden von Browsern problemlos akzeptiert und werden normalerweise bei der kommerziellen Nutzung von Zimbra OSE eingesetzt. Direkt nach der korrekten Installation des kommerziellen Zertifikats zeigt Zimbra OSE 8.8.15 im Test von Qualys SSL Labs eine Bewertung von A an. Das ist ein ausgezeichnetes Ergebnis, aber unser Ziel ist es, ein A+ zu erreichen.<\/p>\n

\"Verbesserung
\n
\n\"Verbesserung
\n
\nUm die maximale Bewertung im Test von Qualys SSL Labs bei der Verwendung von Zimbra Collaboration Suite Open-Source Edition zu erreichen, sind mehrere Schritte erforderlich:<\/p>\n

1. Erh\u00f6hung der Parameter des Diffie-Hellman-Protokolls<\/b><\/p>\n

In allen Komponenten von Zimbra OSE 8.8.15, die OpenSSL verwenden, betr\u00e4gt der Standardwert der Diffie-Hellman-Protokollparameter 2048 Bit. Grunds\u00e4tzlich ist dies mehr als ausreichend, um eine Bewertung von A+ im Test der Qualys SSL Labs zu erhalten. Sollte jedoch ein Upgrade von \u00e4lteren Versionen durchgef\u00fchrt werden, k\u00f6nnen die Parameterwerte niedriger sein. Daher wird empfohlen, nach Abschluss des Upgrades den Befehl zmdhparam set -new 2048 auszuf\u00fchren, der die Diffie-Hellman-Protokollparameter auf akzeptable 2048 Bit erh\u00f6ht. Zudem kann dieser Befehl verwendet werden, um die Parameterwerte auf 3072 oder 4096 Bit zu erh\u00f6hen, was einerseits die Generierungszeit verl\u00e4ngert, andererseits jedoch positive Auswirkungen auf die Sicherheitsstufe des Mailservers hat.<\/p>\n

2. Aktivierung der empfohlenen Liste der verwendeten Cipher-Suiten<\/b><\/p>\n

Standardm\u00e4\u00dfig unterst\u00fctzt die Zimbra Collaboration Suite Open-Source Edition eine breite Palette starker und schwacher Cipher-Suiten, mit denen die Daten verschl\u00fcsselt werden, die \u00fcber eine gesicherte Verbindung \u00fcbertragen werden. Die Verwendung schwacher Cipher-Suiten stellt jedoch einen schwerwiegenden Nachteil bei der \u00dcberpr\u00fcfung der Sicherheit der SSL-Verbindung dar. Um dies zu vermeiden, muss die Liste der verwendeten Cipher-Suiten konfiguriert werden.<\/p>\n

Hierzu sollte der Befehl verwendet werden zmprov mcf zimbraReverseProxySSLCiphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4'<\/code><\/p>\n

Dieser Befehl umfasst sofort die empfohlene Liste der Cipher-Suiten und erm\u00f6glicht es, zuverl\u00e4ssige Cipher-Suiten sofort hinzuzuf\u00fcgen und unsichere auszuschlie\u00dfen. Jetzt bleibt nur noch, die Knoten mit dem R\u00fcckw\u00e4rts-Proxy mithilfe des Befehls zmproxyctl restart neu zu starten. Nach dem Neustart treten die vorgenommenen \u00c4nderungen in Kraft.<\/p>\n

Sollte diese Liste aus verschiedenen Gr\u00fcnden nicht Ihren Anforderungen entsprechen, ist es m\u00f6glich, einige schwache Cipher-Suiten mit dem Befehl zu entfernen zmprov mcf +zimbraSSLExcludeCipherSuites<\/code>. Beispielsweise kann der Befehl zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites TLS_ECDHE_RSA_WITH_RC4_128_SHA<\/code>, die die Verwendung von RC4-Verschl\u00fcsselungen vollst\u00e4ndig ausschlie\u00dft. Ebenso kann man bei AES- und 3DES-Verschl\u00fcsselungen verfahren.<\/p>\n

3. Aktivierung von HSTS<\/b><\/p>\n

Aktivierte Mechanismen zur zwangsweisen Verschl\u00fcsselung der Verbindung und zur Wiederherstellung der TLS-Sitzung sind ebenfalls verbindliche Voraussetzungen f\u00fcr die Erzielung der h\u00f6chsten Punktzahl im Test von Qualys SSL Labs. Um diese zu aktivieren, muss der Befehl eingegeben werden zmprov mcf +zimbraResponseHeader \"Strict-Transport-Security: max-age=31536000\"<\/code>. Dieser Befehl f\u00fcgt den erforderlichen Header zur Konfiguration hinzu, und um die neuen Einstellungen wirksam werden zu lassen, muss Zimbra OSE durch den Befehl neu gestartet werden zmcontrol restart<\/b>.<\/p>\n

Bereits in diesem Stadium wird der Test von Qualys SSL Labs eine Bewertung von A+ anzeigen, aber wenn Sie die Sicherheit Ihres Servers weiter verbessern m\u00f6chten, k\u00f6nnen weitere Ma\u00dfnahmen ergriffen werden.<\/p>\n

\"Verbesserung
\n
\nZum Beispiel kann die zwangsweise Verschl\u00fcsselung von Interprozessverbindungen aktiviert werden, ebenso kann die zwangsweise Verschl\u00fcsselung beim Zugriff auf Zimbra OSE-Dienste aktiviert werden. Zur \u00dcberpr\u00fcfung der Interprozessverbindungen sind folgende Befehle einzugeben:<\/p>\n

zmlocalconfig -e ldap_starttls_supported=1\nzmlocalconfig -e zimbra_require_interprocess_security=1\nzmlocalconfig -e ldap_starttls_required=true<\/code><\/pre>\n
\nUm die zwangsweise Verschl\u00fcsselung zu aktivieren, muss Folgendes eingegeben werden:<\/p>\n
zmprov gs `zmhostname` zimbraReverseProxyMailMode\nzmprov ms `zmhostname` zimbraReverseProxyMailMode https\n\nzmprov gs `zmhostname` zimbraMailMode\nzmprov ms `zmhostname` zimbraMailMode https\n\nzmprov gs `zmhostname` zimbraReverseProxySSLToUpstreamEnabled\nzmprov ms `zmhostname` zimbraReverseProxySSLToUpstreamEnabled TRUE<\/code><\/pre>\n
Mit diesen Befehlen werden alle Verbindungen zu Proxy-Servern<\/a> und Mail-Servern verschl\u00fcsselt, sowie das Proxieren all dieser Verbindungen wird sichergestellt.<\/p>\n
\"Verbesserung
\n
\nSo k\u00f6nnen Sie unseren Empfehlungen folgen, um nicht nur die h\u00f6chste Bewertung im Test der SSL-Verbindungssicherheit zu erreichen, sondern auch die Sicherheit der gesamten Zimbra OSE-Infrastruktur erheblich zu erh\u00f6hen.<\/p>\n
Bei allen Fragen zu Zextras Suite k\u00f6nnen Sie sich an die Vertreterin der Firma \u201eZextras\u201c, Ekaterina Triandafilidi, per E-Mail unter katerina@zextras.com wenden.
\n
Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0445 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c \u0434\u043b\u044f \u0431\u0438\u0437\u043d\u0435\u0441\u0430, \u0432\u0435\u0434\u044c \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u043e \u043e\u043d\u0438 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438. \u041e\u0431\u0449\u0435\u043f\u0440\u0438\u043d\u044f\u0442\u044b\u043c \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u043e\u043c \u043e\u0446\u0435\u043d\u043a\u0438 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0430 SSL-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u044b\u0439 \u0442\u0435\u0441\u0442 \u043e\u0442 Qualys SSL Labs. \u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0434\u0430\u043d\u043d\u044b\u0439 \u0442\u0435\u0441\u0442 \u043c\u043e\u0436\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043a\u0442\u043e \u0443\u0433\u043e\u0434\u043d\u043e, \u0434\u043b\u044f SaaS-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0432\u0430\u0436\u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u043e\u0446\u0435\u043d\u043a\u0430 \u0432 \u044d\u0442\u043e\u043c \u0442\u0435\u0441\u0442\u0435 \u0431\u044b\u043b\u0430 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0439. \u041e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":86702,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-86701","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Verbesserung der Sicherheitsparameter der SSL-Verbindung in Zimbra Collaboration Suite Open-Source Edition | ProHoster","description":"Die Zuverl\u00e4ssigkeit der Verschl\u00fcsselung ist einer der wichtigsten Indikatoren beim Einsatz von Informationssystemen f\u00fcr Unternehmen, da sie t\u00e4glich an der \u00dcbertragung gro\u00dfer Mengen vertraulicher Informationen beteiligt sind.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u043b\u0443\u0447\u0448\u0435\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 SSL-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0432 Zimbra Collaboration Suite Open-Source Edition | ProHoster","og:description":"\u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0445 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c \u0434\u043b\u044f \u0431\u0438\u0437\u043d\u0435\u0441\u0430, \u0432\u0435\u0434\u044c \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u043e \u043e\u043d\u0438 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-28T17:42:14+00:00","article:modified_time":"2020-06-28T17:42:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"86701","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:09:18","updated":"2026-02-19 09:14:02","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/86701","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=86701"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/86701\/revisions"}],"predecessor-version":[{"id":161810,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/86701\/revisions\/161810"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/86702"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=86701"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=86701"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=86701"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}