{"id":86701,"date":"2020-06-28T19:42:14","date_gmt":"2020-06-28T17:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition"},"modified":"2020-06-28T19:42:14","modified_gmt":"2020-06-28T17:42:14","slug":"uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","title":{"rendered":"Migliorare i parametri di sicurezza della connessione SSL nella Zimbra Collaboration Suite Open-Source Edition","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'affidabilit\u00e0 della crittografia \u00e8 uno degli indicatori pi\u00f9 importanti nell'uso dei sistemi informatici per le aziende, poich\u00e9 ogni giorno si occupano della trasmissione di enormi quantit\u00e0 di informazioni riservate. Un metodo comunemente usato per valutare la qualit\u00e0 della connessione SSL \u00e8 il test indipendente di Qualys SSL Labs. Poich\u00e9 chiunque pu\u00f2 eseguire questo test, \u00e8 particolarmente importante per i fornitori SaaS ottenere il punteggio pi\u00f9 alto possibile. Non solo i fornitori SaaS si prendono cura della qualit\u00e0 della connessione SSL, ma anche le aziende tradizionali. Per loro, questo test \u00e8 un'ottima opportunit\u00e0 per identificare potenziali vulnerabilit\u00e0 e chiudere in tempo tutte le falle contro i criminali informatici.<\/p>\n

\"Migliorare<\/a><\/noindex>
\nIn Zimbra OSE sono ammessi due tipi di certificati SSL<\/a>. Il primo \u00e8 un certificato autofirmato, che viene automaticamente aggiunto durante l'installazione. Questo certificato \u00e8 gratuito e non ha limitazioni temporali, il che significa che \u00e8 perfetto per testare Zimbra OSE o per usarlo esclusivamente all'interno di una rete interna. Tuttavia, quando si accede al client web, gli utenti vedranno un avviso dal browser che informa che questo certificato non \u00e8 affidabile, e il test di Qualys SSL Labs sicuramente non dar\u00e0 un punteggio positivo al vostro server.<\/p>\n

Il secondo \u00e8 un certificato SSL commerciale, firmato da un'autorit\u00e0 di certificazione. Questi certificati sono facilmente riconosciuti dai browser e vengono normalmente utilizzati in caso di sfruttamento commerciale di Zimbra OSE. Subito dopo la corretta installazione di un certificato commerciale, Zimbra OSE 8.8.15 mostra un punteggio A nel test di Qualys SSL Labs. Questo \u00e8 un ottimo risultato, ma il nostro obiettivo \u00e8 raggiungere un punteggio A+.<\/p>\n

\"Migliorare
\n
\n\"Migliorare
\n
\nPer ottenere il punteggio massimo nel test di Qualys SSL Labs utilizzando Zimbra Collaboration Suite Open-Source Edition, \u00e8 necessario seguire una serie di passaggi:<\/p>\n

1. Aumentare i parametri del protocollo Diffie-Hellman<\/b><\/p>\n

Per impostazione predefinita, tutti i componenti di Zimbra OSE 8.8.15 che utilizzano OpenSSL hanno un valore per i parametri del protocollo Diffie-Hellman di 2048 bit. Fondamentalmente, questo \u00e8 pi\u00f9 che sufficiente per ottenere un punteggio A+ nel test di Qualys SSL Labs. Tuttavia, se state effettuando un aggiornamento da versioni precedenti, i valori dei parametri potrebbero essere inferiori. Si consiglia quindi, dopo aver completato l'aggiornamento, di eseguire il comando zmdhparam set -new 2048, che aumenter\u00e0 i parametri del protocollo Diffie-Hellman a un accettabile 2048 bit, ma se desiderate, utilizzando lo stesso comando, potete aumentare il valore dei parametri a 3072 o 4096 bit, il che da un lato aumenter\u00e0 il tempo di generazione, ma dall'altro migliorer\u00e0 la sicurezza del server di posta.<\/p>\n

2. Abilitare l'elenco dei cipher consigliati<\/b><\/p>\n

Per impostazione predefinita, Zimbra Collaboration Suite Open-Source Edition supporta una vasta gamma di cipher forti e deboli, utilizzati per crittografare i dati che transitano attraverso una connessione sicura. Tuttavia, l'uso di cipher deboli \u00e8 un serio svantaggio durante il controllo della sicurezza della connessione SSL. Per evitare ci\u00f2, \u00e8 necessario configurare l'elenco dei cipher in uso.<\/p>\n

A tal fine, \u00e8 necessario utilizzare il comando zmprov mcf zimbraReverseProxySSLCiphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4'<\/code><\/p>\n

Questo comando include immediatamente un insieme di cipher consigliati e grazie ad esso si possono includere nel proprio elenco cipher affidabili ed escludere quelli non sicuri. Ora rimane solo da riavviare i nodi del reverse proxy con il comando zmproxyctl restart. Dopo il riavvio, le modifiche apportate entreranno in vigore.<\/p>\n

Nel caso in cui questo elenco non vi soddisfi per vari motivi, \u00e8 possibile rimuovere alcuni cipher deboli utilizzando il comando zmprov mcf +zimbraSSLExcludeCipherSuites<\/code>. Ad esempio, il comando zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites TLS_ECDHE_RSA_WITH_RC4_128_SHA<\/code>, che esclude completamente l'uso dei cipher RC4. Lo stesso pu\u00f2 essere fatto con i cipher AES e 3DES.<\/p>\n

3. Abilitare HSTS<\/b><\/p>\n

L'attivazione dei meccanismi di forzatura della crittografia della connessione e del ripristino della sessione TLS sono condizioni obbligatorie per ottenere il punteggio massimo nel test di Qualys SSL Labs. Per abilitare tali funzioni, \u00e8 necessario inserire il comando zmprov mcf +zimbraResponseHeader \"Strict-Transport-Security: max-age=31536000\"<\/code>. Questo comando aggiunger\u00e0 l'intestazione necessaria alla configurazione e per applicare le nuove impostazioni sar\u00e0 necessario riavviare Zimbra OSE usando il comando zmcontrol restart<\/b>.<\/p>\n

Gi\u00e0 a questo punto il test di Qualys SSL Labs mostrer\u00e0 un punteggio A+, tuttavia, se desideri ulteriormente migliorare la sicurezza del tuo server, puoi intraprendere ulteriori misure.<\/p>\n

\"Migliorare
\n
\nAd esempio, puoi abilitare la crittografia forzata delle connessioni interprocesso e anche abilitare la crittografia forzata quando ti connetti ai servizi Zimbra OSE. Per controllare le connessioni interprocesso, inserisci i seguenti comandi:<\/p>\n

zmlocalconfig -e ldap_starttls_supported=1\nzmlocalconfig -e zimbra_require_interprocess_security=1\nzmlocalconfig -e ldap_starttls_required=true<\/code><\/pre>\n
\nPer abilitare la crittografia forzata, devi inserire:<\/p>\n
zmprov gs `zmhostname` zimbraReverseProxyMailMode\nzmprov ms `zmhostname` zimbraReverseProxyMailMode https\n\nzmprov gs `zmhostname` zimbraMailMode\nzmprov ms `zmhostname` zimbraMailMode https\n\nzmprov gs `zmhostname` zimbraReverseProxySSLToUpstreamEnabled\nzmprov ms `zmhostname` zimbraReverseProxySSLToUpstreamEnabled TRUE<\/code><\/pre>\n
Con questi comandi, tutte le connessioni con il proxyserver<\/a> e i server di posta saranno crittografate, e tutte queste connessioni saranno proxy.<\/p>\n
\"Migliorare
\n
\nIn questo modo, seguendo le nostre raccomandazioni, non solo puoi ottenere il punteggio pi\u00f9 alto nel test di sicurezza della connessione SSL, ma anche aumentare notevolmente la sicurezza dell'intera infrastruttura Zimbra OSE.<\/p>\n
Per qualsiasi domanda relativa a Zextras Suite, puoi contattare il rappresentante dell'azienda \u00abZextras\u00bb, Ekaterina Triandafili, via email all'indirizzo katerina@zextras.com.
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0445 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c \u0434\u043b\u044f \u0431\u0438\u0437\u043d\u0435\u0441\u0430, \u0432\u0435\u0434\u044c \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u043e \u043e\u043d\u0438 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438. \u041e\u0431\u0449\u0435\u043f\u0440\u0438\u043d\u044f\u0442\u044b\u043c \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u043e\u043c \u043e\u0446\u0435\u043d\u043a\u0438 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0430 SSL-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u044b\u0439 \u0442\u0435\u0441\u0442 \u043e\u0442 Qualys SSL Labs. \u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0434\u0430\u043d\u043d\u044b\u0439 \u0442\u0435\u0441\u0442 \u043c\u043e\u0436\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043a\u0442\u043e \u0443\u0433\u043e\u0434\u043d\u043e, \u0434\u043b\u044f SaaS-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0432\u0430\u0436\u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u043e\u0446\u0435\u043d\u043a\u0430 \u0432 \u044d\u0442\u043e\u043c \u0442\u0435\u0441\u0442\u0435 \u0431\u044b\u043b\u0430 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0439. \u041e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":86702,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-86701","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Miglioramento dei parametri di sicurezza della connessione SSL in Zimbra Collaboration Suite Open-Source Edition | ProHoster","description":"L'affidabilit\u00e0 della crittografia \u00e8 uno dei parametri pi\u00f9 importanti nell'uso dei sistemi informativi per le aziende, poich\u00e9 essi partecipano quotidianamente alla trasmissione di enormi quantit\u00e0 di informazioni riservate.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u043b\u0443\u0447\u0448\u0435\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 SSL-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0432 Zimbra Collaboration Suite Open-Source Edition | ProHoster","og:description":"\u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0445 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c \u0434\u043b\u044f \u0431\u0438\u0437\u043d\u0435\u0441\u0430, \u0432\u0435\u0434\u044c \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u043e \u043e\u043d\u0438 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-28T17:42:14+00:00","article:modified_time":"2020-06-28T17:42:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"86701","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:09:18","updated":"2026-02-19 09:14:02","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/86701","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=86701"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/86701\/revisions"}],"predecessor-version":[{"id":161810,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/86701\/revisions\/161810"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/86702"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=86701"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=86701"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=86701"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}