ज़िम्ब्रा सहयोग सुइट ओपन-सोर्स संस्करण में एसएसएल कनेक्शन सुरक्षा सेटिंग्स में सुधार

व्यवसाय के लिए सूचना प्रणालियों का उपयोग करते समय एन्क्रिप्शन की ताकत सबसे महत्वपूर्ण संकेतकों में से एक है, क्योंकि हर दिन वे बड़ी मात्रा में गोपनीय जानकारी के हस्तांतरण में शामिल होते हैं। एसएसएल कनेक्शन की गुणवत्ता का आकलन करने का आम तौर पर स्वीकृत साधन क्वालिस एसएसएल लैब्स से एक स्वतंत्र परीक्षण है। चूँकि यह परीक्षण किसी के द्वारा भी चलाया जा सकता है, इसलिए SaaS प्रदाताओं के लिए इस परीक्षण पर उच्चतम संभव स्कोर प्राप्त करना विशेष रूप से महत्वपूर्ण है। न केवल SaaS प्रदाता, बल्कि सामान्य उद्यम भी SSL कनेक्शन की गुणवत्ता की परवाह करते हैं। उनके लिए, यह परीक्षण संभावित कमजोरियों की पहचान करने और साइबर अपराधियों के लिए सभी खामियों को पहले से ही बंद करने का एक उत्कृष्ट अवसर है।

जिम्ब्रा ओएसई दो प्रकार के एसएसएल प्रमाणपत्रों की अनुमति देता है। पहला एक स्व-हस्ताक्षरित प्रमाणपत्र है जो स्थापना के दौरान स्वचालित रूप से जोड़ा जाता है। यह प्रमाणपत्र मुफ़्त है और इसकी कोई समय सीमा नहीं है, जो इसे जिम्ब्रा ओएसई के परीक्षण या आंतरिक नेटवर्क के भीतर विशेष रूप से उपयोग करने के लिए आदर्श बनाता है। हालाँकि, वेब क्लाइंट में लॉग इन करते समय, उपयोगकर्ताओं को ब्राउज़र से एक चेतावनी दिखाई देगी कि यह प्रमाणपत्र अविश्वसनीय है, और आपका सर्वर निश्चित रूप से क्वालिस एसएसएल लैब्स से परीक्षण में विफल हो जाएगा।

दूसरा प्रमाणन प्राधिकारी द्वारा हस्ताक्षरित एक वाणिज्यिक एसएसएल प्रमाणपत्र है। ऐसे प्रमाणपत्र ब्राउज़रों द्वारा आसानी से स्वीकार किए जाते हैं और आमतौर पर जिम्ब्रा ओएसई के व्यावसायिक उपयोग के लिए उपयोग किए जाते हैं। वाणिज्यिक प्रमाणपत्र की सही स्थापना के तुरंत बाद, ज़िम्ब्रा ओएसई 8.8.15 क्वालिस एसएसएल लैब्स से परीक्षण में ए स्कोर दिखाता है। यह एक उत्कृष्ट परिणाम है, लेकिन हमारा लक्ष्य A+ परिणाम प्राप्त करना है।

ज़िम्ब्रा सहयोग सुइट ओपन-सोर्स संस्करण का उपयोग करते समय क्वालिस एसएसएल लैब्स से परीक्षण में अधिकतम स्कोर प्राप्त करने के लिए, आपको कई चरण पूरे करने होंगे:

1. डिफी-हेलमैन प्रोटोकॉल के मापदंडों को बढ़ाना

डिफ़ॉल्ट रूप से, ओपनएसएसएल का उपयोग करने वाले सभी जिम्ब्रा ओएसई 8.8.15 घटकों में डिफी-हेलमैन प्रोटोकॉल सेटिंग्स 2048 बिट्स पर सेट होती हैं। सिद्धांत रूप में, क्वालिस एसएसएल लैब्स से परीक्षण में ए+ स्कोर प्राप्त करने के लिए यह पर्याप्त से अधिक है। हालाँकि, यदि आप पुराने संस्करणों से अपग्रेड कर रहे हैं, तो सेटिंग्स कम हो सकती हैं। इसलिए, यह अनुशंसा की जाती है कि अद्यतन पूरा होने के बाद, कमांड zmdhparam set -new 2048 चलाएँ, जो डिफी-हेलमैन प्रोटोकॉल के मापदंडों को स्वीकार्य 2048 बिट्स तक बढ़ा देगा, और यदि वांछित है, तो उसी कमांड का उपयोग करके, आप बढ़ा सकते हैं पैरामीटर का मान 3072 या 4096 बिट्स तक, जिससे एक ओर पीढ़ी समय में वृद्धि होगी, लेकिन दूसरी ओर मेल सर्वर के सुरक्षा स्तर पर सकारात्मक प्रभाव पड़ेगा।

2. उपयोग किए गए सिफर की अनुशंसित सूची शामिल है

डिफ़ॉल्ट रूप से, ज़िम्ब्रा कोलैबरेटियन सुइट ओपन-सोर्स संस्करण मजबूत और कमजोर सिफर की एक विस्तृत श्रृंखला का समर्थन करता है, जो एक सुरक्षित कनेक्शन से गुजरने वाले डेटा को एन्क्रिप्ट करता है। हालाँकि, एसएसएल कनेक्शन की सुरक्षा की जाँच करते समय कमजोर सिफर का उपयोग एक गंभीर नुकसान है। इससे बचने के लिए, आपको उपयोग किए गए सिफर की सूची को कॉन्फ़िगर करने की आवश्यकता है।

ऐसा करने के लिए, कमांड का उपयोग करें zmprov mcf zimbraReverseProxySSLCiphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4'

इस कमांड में तुरंत अनुशंसित सिफर का एक सेट शामिल होता है और इसके लिए धन्यवाद, कमांड तुरंत विश्वसनीय सिफर को सूची में शामिल कर सकता है और अविश्वसनीय सिफर को बाहर कर सकता है। अब जो कुछ बचा है वह zmproxyctl restart कमांड का उपयोग करके रिवर्स प्रॉक्सी नोड्स को पुनरारंभ करना है। रीबूट के बाद, किए गए परिवर्तन प्रभावी होंगे।

यदि किसी कारण या किसी अन्य कारण से यह सूची आपके लिए उपयुक्त नहीं है, तो आप कमांड का उपयोग करके इसमें से कई कमजोर सिफर को हटा सकते हैं zmprov mcf +zimbraSSLExcludeCipherSuites. तो, उदाहरण के लिए, आदेश zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites TLS_ECDHE_RSA_WITH_RC4_128_SHA, जो RC4 सिफर के उपयोग को पूरी तरह से समाप्त कर देगा। एईएस और 3डीईएस सिफर के साथ भी ऐसा ही किया जा सकता है।

3. एचएसटीएस सक्षम करें

क्वालिस एसएसएल लैब्स परीक्षण में सही स्कोर प्राप्त करने के लिए कनेक्शन एन्क्रिप्शन और टीएलएस सत्र पुनर्प्राप्ति को बाध्य करने के लिए सक्षम तंत्र की भी आवश्यकता होती है। उन्हें सक्षम करने के लिए आपको कमांड दर्ज करना होगा zmprov mcf +zimbraResponseHeader "Strict-Transport-Security: max-age=31536000". यह कमांड कॉन्फ़िगरेशन में आवश्यक हेडर जोड़ देगा, और नई सेटिंग्स को प्रभावी करने के लिए आपको कमांड का उपयोग करके जिम्ब्रा ओएसई को पुनरारंभ करना होगा zmcontrol पुनरारंभ.

पहले से ही इस स्तर पर, क्वालिस एसएसएल लैब्स का परीक्षण ए+ रेटिंग दिखाएगा, लेकिन यदि आप अपने सर्वर की सुरक्षा में और सुधार करना चाहते हैं, तो आप कई अन्य उपाय कर सकते हैं।

उदाहरण के लिए, आप अंतर-प्रक्रिया कनेक्शन के जबरन एन्क्रिप्शन को सक्षम कर सकते हैं, और आप जोम्ब्रा ओएसई सेवाओं से कनेक्ट होने पर मजबूर एन्क्रिप्शन को भी सक्षम कर सकते हैं। इंटरप्रोसेस कनेक्शन की जांच करने के लिए, निम्नलिखित कमांड दर्ज करें:

zmlocalconfig -e ldap_starttls_supported=1
zmlocalconfig -e zimbra_require_interprocess_security=1
zmlocalconfig -e ldap_starttls_required=true

जबरन एन्क्रिप्शन सक्षम करने के लिए आपको यह दर्ज करना होगा:

zmprov gs `zmhostname` zimbraReverseProxyMailMode
zmprov ms `zmhostname` zimbraReverseProxyMailMode https

zmprov gs `zmhostname` zimbraMailMode
zmprov ms `zmhostname` zimbraMailMode https

zmprov gs `zmhostname` zimbraReverseProxySSLToUpstreamEnabled
zmprov ms `zmhostname` zimbraReverseProxySSLToUpstreamEnabled TRUE

इन आदेशों के लिए धन्यवाद, प्रॉक्सी सर्वर और मेल सर्वर के सभी कनेक्शन एन्क्रिप्ट किए जाएंगे, और ये सभी कनेक्शन प्रॉक्सी किए जाएंगे।

इस प्रकार, हमारी सिफारिशों का पालन करते हुए, आप न केवल एसएसएल कनेक्शन सुरक्षा परीक्षण में उच्चतम स्कोर प्राप्त कर सकते हैं, बल्कि पूरे जिम्ब्रा ओएसई बुनियादी ढांचे की सुरक्षा में भी उल्लेखनीय वृद्धि कर सकते हैं।

ज़ेक्स्ट्रास सुइट से संबंधित सभी प्रश्नों के लिए, आप ज़ेक्स्ट्रास के प्रतिनिधि एकातेरिना ट्रायंडाफिलिडी से ई-मेल द्वारा संपर्क कर सकते हैं। [ईमेल संरक्षित]

स्रोत: www.habr.com