{"id":86701,"date":"2020-06-28T19:42:14","date_gmt":"2020-06-28T17:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition"},"modified":"2020-06-28T19:42:14","modified_gmt":"2020-06-28T17:42:14","slug":"uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","title":{"rendered":"Miglioramento dei parametri di sicurezza della connessione SSL nella Zimbra Collaboration Suite Open-Source Edition.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'affidabilit\u00e0 della crittografia \u00e8 uno degli indicatori pi\u00f9 importanti nell'uso dei sistemi informatici per le aziende, poich\u00e9 quotidianamente partecipano alla trasmissione di un'enorme quantit\u00e0 di informazioni riservate. Uno strumento comunemente accettato per valutare la qualit\u00e0 delle connessioni SSL \u00e8 il test indipendente di Qualys SSL Labs. Poich\u00e9 chiunque pu\u00f2 eseguire questo test, per i fornitori di SaaS \u00e8 particolarmente importante che la valutazione in questo test sia massima. Non solo i fornitori di SaaS si prendono cura della qualit\u00e0 della connessione SSL, ma anche le aziende comuni. Per loro, questo test rappresenta un'eccellente opportunit\u00e0 per individuare potenziali vulnerabilit\u00e0 e chiudere in anticipo tutte le falle per i criminali informatici.<\/p>\n

\"Miglioramento<\/a><\/noindex>
\nIn Zimbra OSE \u00e8 consentito utilizzare due tipi dei certificati SSL<\/a>. Il primo \u00e8 un certificato auto-firmato, che viene aggiunto automaticamente al momento dell'installazione. Questo certificato \u00e8 gratuito e non ha limiti di tempo, il che lo rende perfetto per testare Zimbra OSE o per l'uso esclusivo all'interno di una rete interna. Tuttavia, quando gli utenti accedono al web client, vedranno un avviso dal browser che indica che questo certificato non \u00e8 affidabile, e il test di Qualys SSL Labs far\u00e0 sicuramente fallire il vostro server.<\/p>\n

Il secondo \u00e8 un certificato SSL commerciale, firmato da un'autorit\u00e0 di certificazione. Questi certificati sono facilmente riconosciuti dai browser e vengono comunemente utilizzati durante l'operativit\u00e0 commerciale di Zimbra OSE. Subito dopo un'installazione corretta del certificato commerciale, Zimbra OSE 8.8.15 mostra un punteggio A nel test di Qualys SSL Labs. Questo \u00e8 un ottimo risultato, ma il nostro obiettivo \u00e8 raggiungere un risultato A+.<\/p>\n

\"Miglioramento
\n
\n\"Miglioramento
\n
\nPer ottenere il punteggio massimo nel test di Qualys SSL Labs utilizzando Zimbra Collaboration Suite Open-Source Edition \u00e8 necessario seguire alcuni passaggi:<\/p>\n

1. Aumento dei parametri del protocollo Diffie-Hellman<\/b><\/p>\n

Per impostazione predefinita, in tutti i componenti Zimbra OSE 8.8.15 che utilizzano OpenSSL, il valore dei parametri del protocollo Diffie-Hellman \u00e8 di 2048 bit. In linea di principio, questo \u00e8 pi\u00f9 che sufficiente per ottenere una valutazione A+ nel test di Qualys SSL Labs. Tuttavia, nel caso in cui si esegua un aggiornamento da versioni precedenti, il valore dei parametri potrebbe risultare inferiore. Pertanto, si consiglia di eseguire il comando zmdhparam set -new 2048 dopo il completamento dell'aggiornamento, che aumenter\u00e0 i parametri del protocollo Diffie-Hellman a un accettabile 2048 bit; se lo si desidera, con lo stesso comando \u00e8 possibile aumentare il valore dei parametri a 3072 o 4096 bit, il che da un lato comporter\u00e0 un aumento del tempo di generazione, ma dall'altro migliorer\u00e0 il livello di sicurezza del server di posta.<\/p>\n

2. Abilitazione della lista raccomandata di cifrari utilizzati<\/b><\/p>\n

Per impostazione predefinita, Zimbra Collaboration Suite Open-Source Edition supporta un'ampia gamma di cifrari forti e deboli, attraverso i quali i dati vengono crittografati durante il passaggio attraverso una connessione protetta. Tuttavia, l'uso di cifrari deboli rappresenta un serio svantaggio durante il controllo della sicurezza della connessione SSL. Per evitare ci\u00f2, \u00e8 necessario configurare la lista dei cifrari utilizzati.<\/p>\n

Per fare ci\u00f2, \u00e8 possibile utilizzare il comando zmprov mcf zimbraReverseProxySSLCiphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4'<\/code><\/p>\n

In questo comando \u00e8 gi\u00e0 incluso un insieme di cifrari raccomandati e grazie a esso \u00e8 possibile includere immediatamente nel elenco i cifrari sicuri ed escludere quelli non sicuri. Ora non resta che riavviare i nodi con proxy inverso utilizzando il comando zmproxyctl restart. Dopo il riavvio, le modifiche apportate entreranno in vigore.<\/p>\n

Nel caso in cui questo elenco non ti soddisfi per motivi vari, \u00e8 possibile rimuovere alcuni cifrari deboli utilizzando il comando zmprov mcf +zimbraSSLExcludeCipherSuites<\/code>. Ad esempio, il comando zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites TLS_ECDHE_RSA_WITH_RC4_128_SHA<\/code>, che escluder\u00e0 completamente l'uso degli algoritmi di crittografia RC4. Si pu\u00f2 fare lo stesso con gli algoritmi AES e 3DES.<\/p>\n

3. Abilitazione di HSTS<\/b><\/p>\n

I meccanismi abilitati di forzatura della crittografia delle connessioni e del ripristino della sessione TLS sono anche condizioni obbligatorie per ottenere il punteggio pi\u00f9 alto nel test di Qualys SSL Labs. Per abilitarli, \u00e8 necessario inserire il comando zmprov mcf +zimbraResponseHeader \"Strict-Transport-Security: max-age=31536000\"<\/code>. Questo comando aggiunger\u00e0 l'intestazione necessaria nella configurazione, e per rendere effettive le nuove impostazioni sar\u00e0 necessario riavviare Zimbra OSE con il comando zmcontrol restart<\/b>.<\/p>\n

A questo punto, il test di Qualys SSL Labs mostrer\u00e0 un punteggio di A+, tuttavia, se desiderate migliorare ulteriormente la sicurezza del vostro server, \u00e8 possibile intraprendere ulteriori misure.<\/p>\n

\"Miglioramento
\n
\nAd esempio, \u00e8 possibile abilitare la crittografia forzata delle connessioni interprocesso e abilitare la crittografia forzata quando ci si connette ai servizi di Zimbra OSE. Per verificare le connessioni interprocesso, \u00e8 necessario inserire i seguenti comandi:<\/p>\n

zmlocalconfig -e ldap_starttls_supported=1\nzmlocalconfig -e zimbra_require_interprocess_security=1\nzmlocalconfig -e ldap_starttls_required=true<\/code><\/pre>\n
\nPer abilitare la crittografia forzata, \u00e8 necessario inserire:<\/p>\n
zmprov gs `zmhostname` zimbraReverseProxyMailMode\nzmprov ms `zmhostname` zimbraReverseProxyMailMode https\n\nzmprov gs `zmhostname` zimbraMailMode\nzmprov ms `zmhostname` zimbraMailMode https\n\nzmprov gs `zmhostname` zimbraReverseProxySSLToUpstreamEnabled\nzmprov ms `zmhostname` zimbraReverseProxySSLToUpstreamEnabled TRUE<\/code><\/pre>\n
Grazie a questi comandi, tutte le connessioni con il proxy e con i server di posta saranno crittografate, e si proceder\u00e0 anche al proxy di tutte queste connessioni.server<\/a> In questo modo, seguendo le nostre raccomandazioni, non solo si pu\u00f2 raggiungere il punteggio pi\u00f9 alto nel test di sicurezza della connessione SSL, ma si pu\u00f2 anche incrementare significativamente la sicurezza dell'intera infrastruttura Zimbra OSE.<\/p>\n
\"Miglioramento
\n
\nL'affidabilit\u00e0 della crittografia \u00e8 uno dei parametri pi\u00f9 importanti nell'utilizzo dei sistemi informatici per le aziende, poich\u00e9 quotidianamente partecipano alla trasmissione di enormi quantit\u00e0 di informazioni riservate.<\/p>\n
Per qualsiasi domanda riguardante Zextras Suite, puoi contattare il Rappresentante della compagnia \"Zextras\", Ekaterina Triandafyllidi all'indirizzo email katerina@zextras.com
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0445 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c \u0434\u043b\u044f \u0431\u0438\u0437\u043d\u0435\u0441\u0430, \u0432\u0435\u0434\u044c \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u043e \u043e\u043d\u0438 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438. \u041e\u0431\u0449\u0435\u043f\u0440\u0438\u043d\u044f\u0442\u044b\u043c \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u043e\u043c \u043e\u0446\u0435\u043d\u043a\u0438 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0430 SSL-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u044b\u0439 \u0442\u0435\u0441\u0442 \u043e\u0442 Qualys SSL Labs. \u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0434\u0430\u043d\u043d\u044b\u0439 \u0442\u0435\u0441\u0442 \u043c\u043e\u0436\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043a\u0442\u043e \u0443\u0433\u043e\u0434\u043d\u043e, \u0434\u043b\u044f SaaS-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0432\u0430\u0436\u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u043e\u0446\u0435\u043d\u043a\u0430 \u0432 \u044d\u0442\u043e\u043c \u0442\u0435\u0441\u0442\u0435 \u0431\u044b\u043b\u0430 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0439. \u041e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":86702,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-86701","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Miglioramento dei parametri di sicurezza SSL della connessione in Zimbra Collaboration Suite Open-Source Edition | ProHoster","description":"\ud83e\udd47Miglioramento dei parametri di sicurezza della connessione SSL in Zimbra Collaboration Suite Open-Source Edition | ProHoster","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u043b\u0443\u0447\u0448\u0435\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 SSL-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0432 Zimbra Collaboration Suite Open-Source Edition | ProHoster","og:description":"\u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0445 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c \u0434\u043b\u044f \u0431\u0438\u0437\u043d\u0435\u0441\u0430, \u0432\u0435\u0434\u044c \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u043e \u043e\u043d\u0438 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-28T17:42:14+00:00","article:modified_time":"2020-06-28T17:42:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"86701","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:09:18","updated":"2026-02-19 09:14:02","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/86701","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=86701"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/86701\/revisions"}],"predecessor-version":[{"id":161810,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/86701\/revisions\/161810"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/86702"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=86701"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=86701"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=86701"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}