ಜಿಂಬ್ರಾ ಸಹಯೋಗ ಸೂಟ್ ಓಪನ್-ಸೋರ್ಸ್ ಆವೃತ್ತಿಯಲ್ಲಿ SSL ಸಂಪರ್ಕ ಭದ್ರತಾ ಸೆಟ್ಟಿಂಗ್‌ಗಳನ್ನು ಸುಧಾರಿಸುವುದು

ವ್ಯವಹಾರಕ್ಕಾಗಿ ಮಾಹಿತಿ ವ್ಯವಸ್ಥೆಗಳನ್ನು ಬಳಸುವಾಗ ಗೂಢಲಿಪೀಕರಣದ ಸಾಮರ್ಥ್ಯವು ಪ್ರಮುಖ ಸೂಚಕಗಳಲ್ಲಿ ಒಂದಾಗಿದೆ, ಏಕೆಂದರೆ ಪ್ರತಿದಿನ ಅವರು ದೊಡ್ಡ ಪ್ರಮಾಣದ ಗೌಪ್ಯ ಮಾಹಿತಿಯ ವರ್ಗಾವಣೆಯಲ್ಲಿ ತೊಡಗಿಸಿಕೊಂಡಿದ್ದಾರೆ. SSL ಸಂಪರ್ಕದ ಗುಣಮಟ್ಟವನ್ನು ನಿರ್ಣಯಿಸಲು ಸಾಮಾನ್ಯವಾಗಿ ಅಂಗೀಕರಿಸಲ್ಪಟ್ಟ ವಿಧಾನವೆಂದರೆ Qualys SSL ಲ್ಯಾಬ್ಸ್‌ನಿಂದ ಸ್ವತಂತ್ರ ಪರೀಕ್ಷೆಯಾಗಿದೆ. ಈ ಪರೀಕ್ಷೆಯನ್ನು ಯಾರಾದರೂ ನಡೆಸಬಹುದಾದ್ದರಿಂದ, SaaS ಪೂರೈಕೆದಾರರು ಈ ಪರೀಕ್ಷೆಯಲ್ಲಿ ಹೆಚ್ಚಿನ ಸಂಭವನೀಯ ಸ್ಕೋರ್ ಪಡೆಯುವುದು ಮುಖ್ಯವಾಗಿದೆ. SaaS ಪೂರೈಕೆದಾರರು ಮಾತ್ರವಲ್ಲ, ಸಾಮಾನ್ಯ ಉದ್ಯಮಗಳು SSL ಸಂಪರ್ಕದ ಗುಣಮಟ್ಟದ ಬಗ್ಗೆ ಕಾಳಜಿ ವಹಿಸುತ್ತವೆ. ಅವರಿಗೆ, ಸಂಭಾವ್ಯ ದೋಷಗಳನ್ನು ಗುರುತಿಸಲು ಮತ್ತು ಸೈಬರ್ ಅಪರಾಧಿಗಳಿಗೆ ಮುಂಚಿತವಾಗಿ ಎಲ್ಲಾ ಲೋಪದೋಷಗಳನ್ನು ಮುಚ್ಚಲು ಈ ಪರೀಕ್ಷೆಯು ಅತ್ಯುತ್ತಮ ಅವಕಾಶವಾಗಿದೆ.

ಜಿಂಬ್ರಾ OSE ಎರಡು ರೀತಿಯ SSL ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಅನುಮತಿಸುತ್ತದೆ. ಮೊದಲನೆಯದು ಸ್ವಯಂ-ಸಹಿ ಪ್ರಮಾಣಪತ್ರವಾಗಿದ್ದು ಅದನ್ನು ಅನುಸ್ಥಾಪನೆಯ ಸಮಯದಲ್ಲಿ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಸೇರಿಸಲಾಗುತ್ತದೆ. ಈ ಪ್ರಮಾಣಪತ್ರವು ಉಚಿತವಾಗಿದೆ ಮತ್ತು ಯಾವುದೇ ಸಮಯದ ಮಿತಿಯನ್ನು ಹೊಂದಿಲ್ಲ, ಇದು ಜಿಂಬ್ರಾ OSE ಅನ್ನು ಪರೀಕ್ಷಿಸಲು ಅಥವಾ ಆಂತರಿಕ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಪ್ರತ್ಯೇಕವಾಗಿ ಬಳಸಲು ಸೂಕ್ತವಾಗಿದೆ. ಆದಾಗ್ಯೂ, ವೆಬ್ ಕ್ಲೈಂಟ್‌ಗೆ ಲಾಗ್ ಇನ್ ಮಾಡುವಾಗ, ಈ ಪ್ರಮಾಣಪತ್ರವು ವಿಶ್ವಾಸಾರ್ಹವಲ್ಲ ಎಂದು ಬಳಕೆದಾರರು ಬ್ರೌಸರ್‌ನಿಂದ ಎಚ್ಚರಿಕೆಯನ್ನು ನೋಡುತ್ತಾರೆ ಮತ್ತು ನಿಮ್ಮ ಸರ್ವರ್ ಖಂಡಿತವಾಗಿಯೂ Qualys SSL ಲ್ಯಾಬ್‌ಗಳಿಂದ ಪರೀಕ್ಷೆಯನ್ನು ವಿಫಲಗೊಳಿಸುತ್ತದೆ.

ಎರಡನೆಯದು ಪ್ರಮಾಣೀಕರಣ ಪ್ರಾಧಿಕಾರದಿಂದ ಸಹಿ ಮಾಡಲಾದ ವಾಣಿಜ್ಯ SSL ಪ್ರಮಾಣಪತ್ರವಾಗಿದೆ. ಅಂತಹ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಬ್ರೌಸರ್‌ಗಳು ಸುಲಭವಾಗಿ ಸ್ವೀಕರಿಸುತ್ತವೆ ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ಜಿಂಬ್ರಾ OSE ಯ ವಾಣಿಜ್ಯ ಬಳಕೆಗಾಗಿ ಬಳಸಲಾಗುತ್ತದೆ. ವಾಣಿಜ್ಯ ಪ್ರಮಾಣಪತ್ರದ ಸರಿಯಾದ ಸ್ಥಾಪನೆಯ ನಂತರ, ಜಿಂಬ್ರಾ OSE 8.8.15 ಕ್ವಾಲಿಸ್ SSL ಲ್ಯಾಬ್ಸ್‌ನಿಂದ ಪರೀಕ್ಷೆಯಲ್ಲಿ A ಸ್ಕೋರ್ ಅನ್ನು ತೋರಿಸುತ್ತದೆ. ಇದು ಅತ್ಯುತ್ತಮ ಫಲಿತಾಂಶವಾಗಿದೆ, ಆದರೆ A+ ಫಲಿತಾಂಶವನ್ನು ಸಾಧಿಸುವುದು ನಮ್ಮ ಗುರಿಯಾಗಿದೆ.

ಜಿಂಬ್ರಾ ಸಹಯೋಗ ಸೂಟ್ ಓಪನ್-ಸೋರ್ಸ್ ಆವೃತ್ತಿಯನ್ನು ಬಳಸುವಾಗ ಕ್ವಾಲಿಸ್ ಎಸ್‌ಎಸ್‌ಎಲ್ ಲ್ಯಾಬ್‌ಗಳಿಂದ ಪರೀಕ್ಷೆಯಲ್ಲಿ ಗರಿಷ್ಠ ಸ್ಕೋರ್ ಸಾಧಿಸಲು, ನೀವು ಹಲವಾರು ಹಂತಗಳನ್ನು ಪೂರ್ಣಗೊಳಿಸಬೇಕು:

1. ಡಿಫಿ-ಹೆಲ್ಮನ್ ಪ್ರೋಟೋಕಾಲ್ನ ನಿಯತಾಂಕಗಳನ್ನು ಹೆಚ್ಚಿಸುವುದು

ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ, OpenSSL ಅನ್ನು ಬಳಸುವ ಎಲ್ಲಾ Zimbra OSE 8.8.15 ಘಟಕಗಳು Diffie-Hellman ಪ್ರೋಟೋಕಾಲ್ ಸೆಟ್ಟಿಂಗ್‌ಗಳನ್ನು 2048 ಬಿಟ್‌ಗಳಿಗೆ ಹೊಂದಿಸಲಾಗಿದೆ. ತಾತ್ವಿಕವಾಗಿ, Qualys SSL ಲ್ಯಾಬ್ಸ್‌ನಿಂದ ಪರೀಕ್ಷೆಯಲ್ಲಿ A+ ಸ್ಕೋರ್ ಪಡೆಯಲು ಇದು ಸಾಕಷ್ಟು ಹೆಚ್ಚು. ಆದಾಗ್ಯೂ, ನೀವು ಹಳೆಯ ಆವೃತ್ತಿಗಳಿಂದ ಅಪ್‌ಗ್ರೇಡ್ ಮಾಡುತ್ತಿದ್ದರೆ, ಸೆಟ್ಟಿಂಗ್‌ಗಳು ಕಡಿಮೆಯಾಗಿರಬಹುದು. ಆದ್ದರಿಂದ, ನವೀಕರಣವು ಪೂರ್ಣಗೊಂಡ ನಂತರ, zmdhparam ಸೆಟ್ -new 2048 ಆಜ್ಞೆಯನ್ನು ಚಲಾಯಿಸಲು ಶಿಫಾರಸು ಮಾಡಲಾಗಿದೆ, ಇದು Diffie-Hellman ಪ್ರೋಟೋಕಾಲ್‌ನ ನಿಯತಾಂಕಗಳನ್ನು ಸ್ವೀಕಾರಾರ್ಹ 2048 ಬಿಟ್‌ಗಳಿಗೆ ಹೆಚ್ಚಿಸುತ್ತದೆ ಮತ್ತು ಬಯಸಿದಲ್ಲಿ, ಅದೇ ಆಜ್ಞೆಯನ್ನು ಬಳಸಿ, ನೀವು ಹೆಚ್ಚಿಸಬಹುದು ನಿಯತಾಂಕಗಳ ಮೌಲ್ಯವು 3072 ಅಥವಾ 4096 ಬಿಟ್‌ಗಳಿಗೆ, ಇದು ಒಂದು ಕಡೆ ಉತ್ಪಾದನೆಯ ಸಮಯವನ್ನು ಹೆಚ್ಚಿಸಲು ಕಾರಣವಾಗುತ್ತದೆ, ಆದರೆ ಮತ್ತೊಂದೆಡೆ ಮೇಲ್ ಸರ್ವರ್‌ನ ಭದ್ರತಾ ಮಟ್ಟದಲ್ಲಿ ಧನಾತ್ಮಕ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ.

2. ಬಳಸಿದ ಸೈಫರ್‌ಗಳ ಶಿಫಾರಸು ಪಟ್ಟಿಯನ್ನು ಒಳಗೊಂಡಂತೆ

ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ, ಜಿಂಬ್ರಾ ಸಹಯೋಗ ಸೂಟ್ ಓಪನ್-ಸೋರ್ಸ್ ಆವೃತ್ತಿಯು ಬಲವಾದ ಮತ್ತು ದುರ್ಬಲ ಸೈಫರ್‌ಗಳ ವ್ಯಾಪಕ ಶ್ರೇಣಿಯನ್ನು ಬೆಂಬಲಿಸುತ್ತದೆ, ಇದು ಸುರಕ್ಷಿತ ಸಂಪರ್ಕದ ಮೂಲಕ ಹಾದುಹೋಗುವ ಡೇಟಾವನ್ನು ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡುತ್ತದೆ. ಆದಾಗ್ಯೂ, SSL ಸಂಪರ್ಕದ ಭದ್ರತೆಯನ್ನು ಪರಿಶೀಲಿಸುವಾಗ ದುರ್ಬಲ ಸೈಫರ್‌ಗಳ ಬಳಕೆಯು ಗಂಭೀರ ಅನನುಕೂಲವಾಗಿದೆ. ಇದನ್ನು ತಪ್ಪಿಸಲು, ನೀವು ಬಳಸಿದ ಸೈಫರ್‌ಗಳ ಪಟ್ಟಿಯನ್ನು ಕಾನ್ಫಿಗರ್ ಮಾಡಬೇಕಾಗುತ್ತದೆ.

ಇದನ್ನು ಮಾಡಲು, ಆಜ್ಞೆಯನ್ನು ಬಳಸಿ zmprov mcf zimbraReverseProxySSLCiphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4'

ಈ ಆಜ್ಞೆಯು ತಕ್ಷಣವೇ ಶಿಫಾರಸು ಮಾಡಲಾದ ಸೈಫರ್‌ಗಳ ಗುಂಪನ್ನು ಒಳಗೊಂಡಿರುತ್ತದೆ ಮತ್ತು ಅದಕ್ಕೆ ಧನ್ಯವಾದಗಳು, ಆಜ್ಞೆಯು ತಕ್ಷಣವೇ ವಿಶ್ವಾಸಾರ್ಹ ಸೈಫರ್‌ಗಳನ್ನು ಪಟ್ಟಿಯಲ್ಲಿ ಸೇರಿಸಬಹುದು ಮತ್ತು ವಿಶ್ವಾಸಾರ್ಹವಲ್ಲದವುಗಳನ್ನು ಹೊರತುಪಡಿಸಬಹುದು. ಈಗ ಉಳಿದಿರುವುದು zmproxyctl ಮರುಪ್ರಾರಂಭದ ಆಜ್ಞೆಯನ್ನು ಬಳಸಿಕೊಂಡು ರಿವರ್ಸ್ ಪ್ರಾಕ್ಸಿ ನೋಡ್‌ಗಳನ್ನು ಮರುಪ್ರಾರಂಭಿಸುವುದು. ರೀಬೂಟ್ ಮಾಡಿದ ನಂತರ, ಮಾಡಿದ ಬದಲಾವಣೆಗಳು ಕಾರ್ಯರೂಪಕ್ಕೆ ಬರುತ್ತವೆ.

ಈ ಪಟ್ಟಿಯು ಒಂದು ಕಾರಣಕ್ಕಾಗಿ ಅಥವಾ ಇನ್ನೊಂದು ಕಾರಣಕ್ಕಾಗಿ ನಿಮಗೆ ಸರಿಹೊಂದುವುದಿಲ್ಲವಾದರೆ, ಆಜ್ಞೆಯನ್ನು ಬಳಸಿಕೊಂಡು ನೀವು ಅದರಿಂದ ಹಲವಾರು ದುರ್ಬಲ ಸೈಫರ್‌ಗಳನ್ನು ತೆಗೆದುಹಾಕಬಹುದು zmprov mcf +zimbraSSLExcludeCipherSuites. ಆದ್ದರಿಂದ, ಉದಾಹರಣೆಗೆ, ಆಜ್ಞೆ zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites TLS_ECDHE_RSA_WITH_RC4_128_SHA, ಇದು RC4 ಸೈಫರ್‌ಗಳ ಬಳಕೆಯನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ತೆಗೆದುಹಾಕುತ್ತದೆ. AES ಮತ್ತು 3DES ಸೈಫರ್‌ಗಳೊಂದಿಗೆ ಅದೇ ರೀತಿ ಮಾಡಬಹುದು.

3. HSTS ಅನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಿ

ಕ್ವಾಲಿಸ್ ಎಸ್‌ಎಸ್‌ಎಲ್ ಲ್ಯಾಬ್ಸ್ ಪರೀಕ್ಷೆಯಲ್ಲಿ ಪರಿಪೂರ್ಣ ಸ್ಕೋರ್ ಸಾಧಿಸಲು ಸಂಪರ್ಕ ಎನ್‌ಕ್ರಿಪ್ಶನ್ ಮತ್ತು TLS ಸೆಶನ್ ಮರುಪಡೆಯುವಿಕೆಗೆ ಒತ್ತಾಯಿಸಲು ಸಕ್ರಿಯಗೊಳಿಸಲಾದ ಕಾರ್ಯವಿಧಾನಗಳು ಸಹ ಅಗತ್ಯವಿದೆ. ಅವುಗಳನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಲು ನೀವು ಆಜ್ಞೆಯನ್ನು ನಮೂದಿಸಬೇಕು zmprov mcf +zimbraResponseHeader "Strict-Transport-Security: max-age=31536000". ಈ ಆಜ್ಞೆಯು ಸಂರಚನೆಗೆ ಅಗತ್ಯವಾದ ಹೆಡರ್ ಅನ್ನು ಸೇರಿಸುತ್ತದೆ ಮತ್ತು ಹೊಸ ಸೆಟ್ಟಿಂಗ್‌ಗಳು ಕಾರ್ಯರೂಪಕ್ಕೆ ಬರಲು ನೀವು ಆಜ್ಞೆಯನ್ನು ಬಳಸಿಕೊಂಡು Zimbra OSE ಅನ್ನು ಮರುಪ್ರಾರಂಭಿಸಬೇಕು zmcontrol ಮರುಪ್ರಾರಂಭಿಸಿ.

ಈಗಾಗಲೇ ಈ ಹಂತದಲ್ಲಿ, Qualys SSL ಲ್ಯಾಬ್ಸ್‌ನ ಪರೀಕ್ಷೆಯು A+ ರೇಟಿಂಗ್ ಅನ್ನು ತೋರಿಸುತ್ತದೆ, ಆದರೆ ನಿಮ್ಮ ಸರ್ವರ್‌ನ ಸುರಕ್ಷತೆಯನ್ನು ಇನ್ನಷ್ಟು ಸುಧಾರಿಸಲು ನೀವು ಬಯಸಿದರೆ, ನೀವು ತೆಗೆದುಕೊಳ್ಳಬಹುದಾದ ಹಲವಾರು ಇತರ ಕ್ರಮಗಳಿವೆ.

ಉದಾಹರಣೆಗೆ, ನೀವು ಇಂಟರ್-ಪ್ರೊಸೆಸ್ ಸಂಪರ್ಕಗಳ ಬಲವಂತದ ಎನ್‌ಕ್ರಿಪ್ಶನ್ ಅನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಬಹುದು ಮತ್ತು ಜಿಂಬ್ರಾ OSE ಸೇವೆಗಳಿಗೆ ಸಂಪರ್ಕಿಸುವಾಗ ನೀವು ಬಲವಂತದ ಎನ್‌ಕ್ರಿಪ್ಶನ್ ಅನ್ನು ಸಹ ಸಕ್ರಿಯಗೊಳಿಸಬಹುದು. ಇಂಟರ್ಪ್ರೊಸೆಸ್ ಸಂಪರ್ಕಗಳನ್ನು ಪರಿಶೀಲಿಸಲು, ಈ ಕೆಳಗಿನ ಆಜ್ಞೆಗಳನ್ನು ನಮೂದಿಸಿ:

zmlocalconfig -e ldap_starttls_supported=1
zmlocalconfig -e zimbra_require_interprocess_security=1
zmlocalconfig -e ldap_starttls_required=true

ಬಲವಂತದ ಗೂಢಲಿಪೀಕರಣವನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಲು ನೀವು ನಮೂದಿಸಬೇಕಾಗಿದೆ:

zmprov gs `zmhostname` zimbraReverseProxyMailMode
zmprov ms `zmhostname` zimbraReverseProxyMailMode https

zmprov gs `zmhostname` zimbraMailMode
zmprov ms `zmhostname` zimbraMailMode https

zmprov gs `zmhostname` zimbraReverseProxySSLToUpstreamEnabled
zmprov ms `zmhostname` zimbraReverseProxySSLToUpstreamEnabled TRUE

ಈ ಆಜ್ಞೆಗಳಿಗೆ ಧನ್ಯವಾದಗಳು, ಪ್ರಾಕ್ಸಿ ಸರ್ವರ್‌ಗಳು ಮತ್ತು ಮೇಲ್ ಸರ್ವರ್‌ಗಳಿಗೆ ಎಲ್ಲಾ ಸಂಪರ್ಕಗಳನ್ನು ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಲಾಗುತ್ತದೆ ಮತ್ತು ಈ ಎಲ್ಲಾ ಸಂಪರ್ಕಗಳನ್ನು ಪ್ರಾಕ್ಸಿ ಮಾಡಲಾಗುತ್ತದೆ.

ಹೀಗಾಗಿ, ನಮ್ಮ ಶಿಫಾರಸುಗಳನ್ನು ಅನುಸರಿಸಿ, ನೀವು SSL ಸಂಪರ್ಕ ಭದ್ರತಾ ಪರೀಕ್ಷೆಯಲ್ಲಿ ಅತ್ಯಧಿಕ ಸ್ಕೋರ್ ಸಾಧಿಸಲು ಮಾತ್ರವಲ್ಲದೆ ಸಂಪೂರ್ಣ ಜಿಂಬ್ರಾ OSE ಮೂಲಸೌಕರ್ಯದ ಸುರಕ್ಷತೆಯನ್ನು ಗಮನಾರ್ಹವಾಗಿ ಹೆಚ್ಚಿಸಬಹುದು.

Zextras Suite ಗೆ ಸಂಬಂಧಿಸಿದ ಎಲ್ಲಾ ಪ್ರಶ್ನೆಗಳಿಗೆ, ನೀವು ಇ-ಮೇಲ್ ಮೂಲಕ Zextras Ekaterina Triandafilidi ಪ್ರತಿನಿಧಿಯನ್ನು ಸಂಪರ್ಕಿಸಬಹುದು [ಇಮೇಲ್ ರಕ್ಷಿಸಲಾಗಿದೆ]

ಮೂಲ: www.habr.com