ઝિમ્બ્રા કોલાબોરેશન સ્યુટ ઓપન-સોર્સ એડિશનમાં SSL કનેક્શન સુરક્ષા સેટિંગ્સમાં સુધારો

વ્યવસાય માટે માહિતી પ્રણાલીઓનો ઉપયોગ કરતી વખતે એન્ક્રિપ્શનની શક્તિ એ સૌથી મહત્વપૂર્ણ સૂચકાંકોમાંનું એક છે, કારણ કે તેઓ દરરોજ મોટી માત્રામાં ગોપનીય માહિતીના ટ્રાન્સફરમાં સામેલ હોય છે. SSL કનેક્શનની ગુણવત્તાનું મૂલ્યાંકન કરવાનો સામાન્ય રીતે સ્વીકૃત માધ્યમ એ Qualys SSL લેબ્સ તરફથી સ્વતંત્ર પરીક્ષણ છે. આ કસોટી કોઈપણ દ્વારા ચલાવી શકાય છે, તેથી SaaS પ્રદાતાઓ માટે આ ટેસ્ટમાં સૌથી વધુ શક્ય સ્કોર મેળવવો ખાસ કરીને મહત્વપૂર્ણ છે. માત્ર SaaS પ્રદાતાઓ જ નહીં, પરંતુ સામાન્ય સાહસો પણ SSL કનેક્શનની ગુણવત્તાની કાળજી રાખે છે. તેમના માટે, આ પરીક્ષણ સંભવિત નબળાઈઓને ઓળખવાની અને સાયબર અપરાધીઓ માટે અગાઉથી તમામ છટકબારીઓ બંધ કરવાની ઉત્તમ તક છે.

Zimbra OSE બે પ્રકારના SSL પ્રમાણપત્રોને મંજૂરી આપે છે. પ્રથમ સ્વ-સહી કરેલ પ્રમાણપત્ર છે જે ઇન્સ્ટોલેશન દરમિયાન આપમેળે ઉમેરવામાં આવે છે. આ પ્રમાણપત્ર મફત છે અને તેની કોઈ સમય મર્યાદા નથી, જે તેને Zimbra OSE નું પરીક્ષણ કરવા અથવા ફક્ત આંતરિક નેટવર્કમાં તેનો ઉપયોગ કરવા માટે આદર્શ બનાવે છે. જો કે, વેબ ક્લાયંટમાં લોગ ઇન કરતી વખતે, વપરાશકર્તાઓ બ્રાઉઝર તરફથી ચેતવણી જોશે કે આ પ્રમાણપત્ર અવિશ્વસનીય છે, અને તમારું સર્વર ચોક્કસપણે Qualys SSL લેબ્સના પરીક્ષણમાં નિષ્ફળ જશે.

બીજું પ્રમાણપત્ર અધિકારી દ્વારા હસ્તાક્ષરિત વ્યવસાયિક SSL પ્રમાણપત્ર છે. આવા પ્રમાણપત્રો બ્રાઉઝર્સ દ્વારા સરળતાથી સ્વીકારવામાં આવે છે અને સામાન્ય રીતે ઝિમ્બ્રા OSE ના વ્યાવસાયિક ઉપયોગ માટે ઉપયોગમાં લેવાય છે. વાણિજ્યિક પ્રમાણપત્રના યોગ્ય ઇન્સ્ટોલેશન પછી તરત જ, ઝિમ્બ્રા OSE 8.8.15 Qualys SSL લેબ્સ તરફથી ટેસ્ટમાં A સ્કોર દર્શાવે છે. આ એક ઉત્તમ પરિણામ છે, પરંતુ અમારું લક્ષ્ય A+ પરિણામ પ્રાપ્ત કરવાનું છે.

ઝિમ્બ્રા કોલાબોરેશન સ્યુટ ઓપન-સોર્સ એડિશનનો ઉપયોગ કરતી વખતે Qualys SSL લેબ્સમાંથી ટેસ્ટમાં મહત્તમ સ્કોર હાંસલ કરવા માટે, તમારે સંખ્યાબંધ પગલાં ભરવા આવશ્યક છે:

1. ડિફી-હેલમેન પ્રોટોકોલના પરિમાણોમાં વધારો

મૂળભૂત રીતે, ઓપનએસએસએલનો ઉપયોગ કરતા તમામ ઝિમ્બ્રા OSE 8.8.15 ઘટકોમાં ડિફી-હેલમેન પ્રોટોકોલ સેટિંગ્સ 2048 બિટ્સ પર સેટ હોય છે. સૈદ્ધાંતિક રીતે, Qualys SSL લેબ્સ તરફથી ટેસ્ટમાં A+ સ્કોર મેળવવા માટે આ પર્યાપ્ત કરતાં વધુ છે. જો કે, જો તમે જૂના સંસ્કરણોથી અપગ્રેડ કરી રહ્યાં છો, તો સેટિંગ્સ ઓછી હોઈ શકે છે. તેથી, એવી ભલામણ કરવામાં આવે છે કે અપડેટ પૂર્ણ થયા પછી, આદેશ ચલાવો zmdhparam set -new 2048, જે Diffie-Hellman પ્રોટોકોલના પરિમાણોને સ્વીકાર્ય 2048 બિટ્સ સુધી વધારશે, અને જો ઇચ્છિત હોય, તો સમાન આદેશનો ઉપયોગ કરીને, તમે વધારી શકો છો. પરિમાણોનું મૂલ્ય 3072 અથવા 4096 બિટ્સ, જે એક તરફ જનરેશન ટાઇમમાં વધારો કરશે, પરંતુ બીજી તરફ મેઇલ સર્વરના સુરક્ષા સ્તર પર સકારાત્મક અસર કરશે.

2. ઉપયોગમાં લેવાતા સાઇફર્સની ભલામણ કરેલ સૂચિ સહિત

ડિફૉલ્ટ રૂપે, ઝિમ્બ્રા કોલાબોરેટેશન સ્યુટ ઓપન-સોર્સ એડિશન મજબૂત અને નબળા સાઇફર્સની વિશાળ શ્રેણીને સપોર્ટ કરે છે, જે સુરક્ષિત કનેક્શન પર પસાર થતા ડેટાને એન્ક્રિપ્ટ કરે છે. જો કે, SSL કનેક્શનની સુરક્ષા તપાસતી વખતે નબળા સાઇફરનો ઉપયોગ ગંભીર ગેરલાભ છે. આને અવગણવા માટે, તમારે ઉપયોગમાં લેવાતા સાઇફર્સની સૂચિ ગોઠવવાની જરૂર છે.

આ કરવા માટે, આદેશનો ઉપયોગ કરો zmprov mcf zimbraReverseProxySSLCiphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4'

આ આદેશમાં તરત જ ભલામણ કરેલ સાઇફરનો સમૂહ શામેલ છે અને તેના માટે આભાર, આદેશ તરત જ સૂચિમાં વિશ્વસનીય સાઇફરનો સમાવેશ કરી શકે છે અને અવિશ્વસનીયને બાકાત કરી શકે છે. હવે જે બાકી છે તે zmproxyctl restart આદેશનો ઉપયોગ કરીને રિવર્સ પ્રોક્સી નોડ્સને ફરીથી શરૂ કરવાનું છે. રીબૂટ કર્યા પછી, કરેલા ફેરફારો પ્રભાવી થશે.

જો આ સૂચિ તમને એક અથવા બીજા કારણોસર અનુકૂળ ન હોય, તો તમે આદેશનો ઉપયોગ કરીને તેમાંથી સંખ્યાબંધ નબળા સાઇફર દૂર કરી શકો છો. zmprov mcf +zimbraSSLExcludeCipherSuites. તેથી, ઉદાહરણ તરીકે, આદેશ zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites TLS_ECDHE_RSA_WITH_RC4_128_SHA, જે RC4 સાઇફરનો ઉપયોગ સંપૂર્ણપણે દૂર કરશે. આ જ AES અને 3DES સાઇફર સાથે કરી શકાય છે.

3. HSTS સક્ષમ કરો

કનેક્શન એન્ક્રિપ્શન અને TLS સત્ર પુનઃપ્રાપ્તિને દબાણ કરવા માટે સક્ષમ મિકેનિઝમ્સ પણ Qualys SSL લેબ ટેસ્ટમાં સંપૂર્ણ સ્કોર હાંસલ કરવા માટે જરૂરી છે. તેમને સક્ષમ કરવા માટે તમારે આદેશ દાખલ કરવો આવશ્યક છે zmprov mcf +zimbraResponseHeader "Strict-Transport-Security: max-age=31536000". આ આદેશ રૂપરેખાંકનમાં જરૂરી હેડર ઉમેરશે, અને નવી સેટિંગ્સને અસરમાં લાવવા માટે તમારે આદેશનો ઉપયોગ કરીને ઝિમ્બ્રા OSE પુનઃપ્રારંભ કરવો પડશે. zmcontrol પુનઃપ્રારંભ કરો.

પહેલેથી જ આ તબક્કે, Qualys SSL લેબ્સનું પરીક્ષણ A+ રેટિંગ બતાવશે, પરંતુ જો તમે તમારા સર્વરની સુરક્ષાને વધુ બહેતર બનાવવા માંગતા હો, તો તમે અન્ય સંખ્યાબંધ પગલાં લઈ શકો છો.

ઉદાહરણ તરીકે, તમે ઇન્ટર-પ્રોસેસ કનેક્શન્સના ફોર્સ્ડ એન્ક્રિપ્શનને સક્ષમ કરી શકો છો, અને ઝિમ્બ્રા OSE સેવાઓ સાથે કનેક્ટ કરતી વખતે તમે ફોર્સ્ડ એન્ક્રિપ્શન પણ સક્ષમ કરી શકો છો. ઇન્ટરપ્રોસેસ કનેક્શન્સ તપાસવા માટે, નીચેના આદેશો દાખલ કરો:

zmlocalconfig -e ldap_starttls_supported=1
zmlocalconfig -e zimbra_require_interprocess_security=1
zmlocalconfig -e ldap_starttls_required=true

ફરજિયાત એન્ક્રિપ્શન સક્ષમ કરવા માટે તમારે દાખલ કરવાની જરૂર છે:

zmprov gs `zmhostname` zimbraReverseProxyMailMode
zmprov ms `zmhostname` zimbraReverseProxyMailMode https

zmprov gs `zmhostname` zimbraMailMode
zmprov ms `zmhostname` zimbraMailMode https

zmprov gs `zmhostname` zimbraReverseProxySSLToUpstreamEnabled
zmprov ms `zmhostname` zimbraReverseProxySSLToUpstreamEnabled TRUE

આ આદેશો માટે આભાર, પ્રોક્સી સર્વર્સ અને મેઇલ સર્વર્સના તમામ કનેક્શન્સ એન્ક્રિપ્ટેડ કરવામાં આવશે, અને આ તમામ કનેક્શન્સ પ્રોક્સી કરવામાં આવશે.

આમ, અમારી ભલામણોને અનુસરીને, તમે SSL કનેક્શન સુરક્ષા પરીક્ષણમાં માત્ર ઉચ્ચતમ સ્કોર પ્રાપ્ત કરી શકતા નથી, પરંતુ સમગ્ર ઝિમ્બ્રા OSE ઈન્ફ્રાસ્ટ્રક્ચરની સુરક્ષામાં પણ નોંધપાત્ર વધારો કરી શકો છો.

Zextras Suite થી સંબંધિત તમામ પ્રશ્નો માટે, તમે ઈ-મેલ દ્વારા Zextras Ekaterina Triandafilidi ના પ્રતિનિધિનો સંપર્ક કરી શકો છો [ઇમેઇલ સુરક્ષિત]

સોર્સ: www.habr.com