{"id":86701,"date":"2020-06-28T19:42:14","date_gmt":"2020-06-28T17:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition"},"modified":"2020-06-28T19:42:14","modified_gmt":"2020-06-28T17:42:14","slug":"uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","title":{"rendered":"Mejora de las opciones de seguridad de la conexi\u00f3n SSL en Zimbra Collaboration Suite Open-Source Edition.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La fiabilidad del cifrado es uno de los indicadores m\u00e1s importantes al utilizar sistemas de informaci\u00f3n para empresas, ya que diariamente participan en la transmisi\u00f3n de enormes cantidades de informaci\u00f3n confidencial. Un medio com\u00fanmente aceptado para evaluar la calidad de la conexi\u00f3n SSL es la prueba independiente de Qualys SSL Labs. Dado que cualquier persona puede ejecutar esta prueba, es especialmente importante para los proveedores de SaaS que la evaluaci\u00f3n en esta prueba sea la m\u00e1xima. La calidad de la conexi\u00f3n SSL no solo preocupa a los proveedores de SaaS, sino tambi\u00e9n a las empresas comunes. Para ellas, esta prueba es una excelente oportunidad para identificar posibles puntos vulnerables y cerrar con anticipaci\u00f3n todas las brechas para los ciberdelincuentes.<\/p>\n

\"Mejora<\/a><\/noindex>
\nEn Zimbra OSE se permite el uso de dos tipos certificados SSL<\/a>. El primero es un certificado autofirmado que se agrega autom\u00e1ticamente durante la instalaci\u00f3n. Este certificado es gratuito y no tiene limitaciones de tiempo, lo que significa que es ideal para probar Zimbra OSE o utilizarla exclusivamente dentro de una red interna. Sin embargo, al ingresar al cliente web, los usuarios ver\u00e1n una advertencia del navegador de que este certificado no es confiable, y la prueba de Qualys SSL Labs definitivamente fallar\u00e1 en su servidor.<\/p>\n

El segundo es un certificado SSL comercial firmado por una autoridad certificadora. Estos certificados son bien aceptados por los navegadores y se utilizan com\u00fanmente en la explotaci\u00f3n comercial de Zimbra OSE. Justo despu\u00e9s de la instalaci\u00f3n correcta del certificado comercial, Zimbra OSE 8.8.15 muestra una calificaci\u00f3n A en la prueba de Qualys SSL Labs. Este es un excelente resultado, pero nuestro objetivo es alcanzar un resultado A+.<\/p>\n

\"Mejora
\n
\n\"Mejora
\n
\nPara alcanzar la m\u00e1xima calificaci\u00f3n en la prueba de Qualys SSL Labs al utilizar Zimbra Collaboration Suite Open-Source Edition, es necesario seguir una serie de pasos:<\/p>\n

1. Aumento de los par\u00e1metros del protocolo de Diffie-Hellman<\/b><\/p>\n

Por defecto, en todos los componentes de Zimbra OSE 8.8.15 que utilizan OpenSSL, el valor de los par\u00e1metros del protocolo Diffie-Hellman es de 2048 bits. En principio, esto es m\u00e1s que suficiente para obtener una calificaci\u00f3n de A+ en las pruebas de Qualys SSL Labs. Sin embargo, si se est\u00e1 actualizando desde versiones anteriores, el valor de los par\u00e1metros puede ser inferior. Por lo tanto, se recomienda, despu\u00e9s de completar la actualizaci\u00f3n, ejecutar el comando zmdhparam set -new 2048, que elevar\u00e1 los par\u00e1metros del protocolo Diffie-Hellman a unos aceptables 2048 bits, y si se desea, con este mismo comando se puede aumentar el valor a 3072 o 4096 bits, lo cual, por un lado, incrementar\u00e1 el tiempo de generaci\u00f3n, pero por otro lado, mejorar\u00e1 el nivel de seguridad del servidor de correo.<\/p>\n

2. Activar la lista recomendada de cifrados utilizados<\/b><\/p>\n

Por defecto, Zimbra Collaboration Suite Open-Source Edition admite una amplia gama de cifrados fuertes y d\u00e9biles, que son utilizados para cifrar los datos que pasan por una conexi\u00f3n segura. Sin embargo, el uso de cifrados d\u00e9biles es una desventaja considerable al verificar la seguridad de una conexi\u00f3n SSL. Para evitar esto, es necesario configurar la lista de cifrados utilizados.<\/p>\n

Para ello, debe utilizarse el comando zmprov mcf zimbraReverseProxySSLCiphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4'<\/code><\/p>\n

Este comando ya incluye un conjunto de cifrados recomendados y, gracias a \u00e9l, se pueden incluir de inmediato en la lista cifrados confiables y excluir los no confiables. Ahora solo queda reiniciar los nodos con el proxy inverso utilizando el comando zmproxyctl restart. Despu\u00e9s de reiniciar, los cambios realizados entrar\u00e1n en efecto.<\/p>\n

En caso de que esta lista no sea de su agrado por alguna raz\u00f3n, se pueden eliminar algunos cifrados d\u00e9biles utilizando el comando zmprov mcf +zimbraSSLExcludeCipherSuites<\/code>. As\u00ed, por ejemplo, el comando zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites TLS_ECDHE_RSA_WITH_RC4_128_SHA<\/code>, que excluir\u00e1 completamente el uso de cifrados RC4. Tambi\u00e9n se puede hacer lo mismo con los cifrados AES y 3DES.<\/p>\n

3. Activando HSTS<\/b><\/p>\n

Los mecanismos habilitados de obligar el cifrado de la conexi\u00f3n y la recuperaci\u00f3n de la sesi\u00f3n TLS tambi\u00e9n son condiciones obligatorias para obtener la mejor puntuaci\u00f3n en la prueba de Qualys SSL Labs. Para habilitarlos, es necesario ingresar el comando zmprov mcf +zimbraResponseHeader \"Strict-Transport-Security: max-age=31536000\"<\/code>. Este comando a\u00f1adir\u00e1 el encabezado necesario a la configuraci\u00f3n, y para que las nuevas configuraciones surtan efecto, ser\u00e1 necesario reiniciar Zimbra OSE con el comando zmcontrol restart<\/b>.<\/p>\n

Ya en esta etapa, la prueba de Qualys SSL Labs mostrar\u00e1 una calificaci\u00f3n de A+, sin embargo, si desea mejorar a\u00fan m\u00e1s la seguridad de su servidor, se pueden tomar algunas medidas adicionales.<\/p>\n

\"Mejora
\n
\nPor ejemplo, se puede habilitar el cifrado obligatorio de las conexiones entre procesos, as\u00ed como habilitar el cifrado obligatorio al conectarse a los servicios de Zimbra OSE. Para verificar las conexiones entre procesos, debe ingresar los siguientes comandos:<\/p>\n

zmlocalconfig -e ldap_starttls_supported=1\nzmlocalconfig -e zimbra_require_interprocess_security=1\nzmlocalconfig -e ldap_starttls_required=true<\/code><\/pre>\n
\nPara habilitar el cifrado obligatorio, debe ingresar:<\/p>\n
zmprov gs `zmhostname` zimbraReverseProxyMailMode\nzmprov ms `zmhostname` zimbraReverseProxyMailMode https\n\nzmprov gs `zmhostname` zimbraMailMode\nzmprov ms `zmhostname` zimbraMailMode https\n\nzmprov gs `zmhostname` zimbraReverseProxySSLToUpstreamEnabled\nzmprov ms `zmhostname` zimbraReverseProxySSLToUpstreamEnabled TRUE<\/code><\/pre>\n
Gracias a estos comandos, se cifrar\u00e1n todas las conexiones con los servidores proxy-servidores<\/a> y de correo, y se realizar\u00e1 el proxy de todas estas conexiones.<\/p>\n
\"Mejora
\n
\nDe este modo, siguiendo nuestras recomendaciones, no solo se puede lograr la m\u00e1xima calificaci\u00f3n en la prueba de seguridad de la conexi\u00f3n SSL, sino tambi\u00e9n aumentar significativamente la seguridad del funcionamiento de toda la infraestructura de Zimbra OSE.<\/p>\n
Para cualquier pregunta relacionada con Zextras Suite, puede ponerse en contacto con la representante de la empresa \"Zextras\" Ekaterina Triandafiliidi al correo electr\u00f3nico katerina@zextras.com
\n
Fuente: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0445 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c \u0434\u043b\u044f \u0431\u0438\u0437\u043d\u0435\u0441\u0430, \u0432\u0435\u0434\u044c \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u043e \u043e\u043d\u0438 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438. \u041e\u0431\u0449\u0435\u043f\u0440\u0438\u043d\u044f\u0442\u044b\u043c \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u043e\u043c \u043e\u0446\u0435\u043d\u043a\u0438 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0430 SSL-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u044b\u0439 \u0442\u0435\u0441\u0442 \u043e\u0442 Qualys SSL Labs. \u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0434\u0430\u043d\u043d\u044b\u0439 \u0442\u0435\u0441\u0442 \u043c\u043e\u0436\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043a\u0442\u043e \u0443\u0433\u043e\u0434\u043d\u043e, \u0434\u043b\u044f SaaS-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0432\u0430\u0436\u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u043e\u0446\u0435\u043d\u043a\u0430 \u0432 \u044d\u0442\u043e\u043c \u0442\u0435\u0441\u0442\u0435 \u0431\u044b\u043b\u0430 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0439. \u041e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":86702,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-86701","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mejoras en los par\u00e1metros de seguridad de la conexi\u00f3n SSL en Zimbra Collaboration Suite Open-Source Edition | ProHoster","description":"La fiabilidad del cifrado es uno de los indicadores m\u00e1s importantes al utilizar sistemas de informaci\u00f3n para empresas, ya que diariamente participan en la transmisi\u00f3n de una gran cantidad de informaci\u00f3n confidencial.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u043b\u0443\u0447\u0448\u0435\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 SSL-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0432 Zimbra Collaboration Suite Open-Source Edition | ProHoster","og:description":"\u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0445 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c \u0434\u043b\u044f \u0431\u0438\u0437\u043d\u0435\u0441\u0430, \u0432\u0435\u0434\u044c \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u043e \u043e\u043d\u0438 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438.","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-28T17:42:14+00:00","article:modified_time":"2020-06-28T17:42:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"86701","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:09:18","updated":"2026-02-19 09:14:02","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/86701","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=86701"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/86701\/revisions"}],"predecessor-version":[{"id":161810,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/86701\/revisions\/161810"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/86702"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=86701"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=86701"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=86701"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}