ການປັບປຸງການຕັ້ງຄ່າຄວາມປອດໄພການເຊື່ອມຕໍ່ SSL ໃນ Zimbra Collaboration Suite Open-Source Edition

ຄວາມເຂັ້ມແຂງຂອງການເຂົ້າລະຫັດແມ່ນຫນຶ່ງໃນຕົວຊີ້ວັດທີ່ສໍາຄັນທີ່ສຸດໃນເວລາທີ່ການນໍາໃຊ້ລະບົບຂໍ້ມູນຂ່າວສານສໍາລັບທຸລະກິດ, ເພາະວ່າທຸກໆມື້ພວກເຂົາມີສ່ວນຮ່ວມໃນການໂອນຂໍ້ມູນລັບຈໍານວນຫລາຍ. ວິທີທີ່ຍອມຮັບໂດຍທົ່ວໄປໃນການປະເມີນຄຸນນະພາບຂອງການເຊື່ອມຕໍ່ SSL ແມ່ນການທົດສອບເອກະລາດຈາກ Qualys SSL Labs. ເນື່ອງຈາກການທົດສອບນີ້ສາມາດດໍາເນີນການໄດ້ໂດຍທຸກຄົນ, ມັນເປັນສິ່ງສໍາຄັນໂດຍສະເພາະສໍາລັບຜູ້ໃຫ້ບໍລິການ SaaS ທີ່ຈະໄດ້ຮັບຄະແນນສູງສຸດທີ່ເປັນໄປໄດ້ໃນການທົດສອບນີ້. ບໍ່ພຽງແຕ່ຜູ້ໃຫ້ບໍລິການ SaaS ເທົ່ານັ້ນ, ແຕ່ຍັງວິສາຫະກິດທົ່ວໄປສົນໃຈກ່ຽວກັບຄຸນນະພາບຂອງການເຊື່ອມຕໍ່ SSL. ສໍາລັບພວກເຂົາ, ການທົດສອບນີ້ແມ່ນໂອກາດດີທີ່ຈະກໍານົດຈຸດອ່ອນທີ່ອາດຈະເກີດຂຶ້ນແລະປິດຊ່ອງຫວ່າງທັງຫມົດສໍາລັບອາຊະຍາກໍາທາງອິນເຕີເນັດລ່ວງຫນ້າ.

Zimbra OSE ອະນຸຍາດໃຫ້ມີສອງປະເພດຂອງໃບຢັ້ງຢືນ SSL. ທໍາອິດແມ່ນໃບຢັ້ງຢືນການເຊັນດ້ວຍຕົນເອງທີ່ຖືກເພີ່ມໂດຍອັດຕະໂນມັດໃນລະຫວ່າງການຕິດຕັ້ງ. ໃບຢັ້ງຢືນນີ້ແມ່ນບໍ່ເສຍຄ່າ ແລະບໍ່ຈໍາກັດເວລາ, ເຮັດໃຫ້ມັນເຫມາະສົມສໍາລັບການທົດສອບ Zimbra OSE ຫຼືໃຊ້ມັນສະເພາະພາຍໃນເຄືອຂ່າຍພາຍໃນ. ຢ່າງໃດກໍຕາມ, ເມື່ອເຂົ້າສູ່ລະບົບລູກຄ້າເວັບ, ຜູ້ໃຊ້ຈະເຫັນຄໍາເຕືອນຈາກຕົວທ່ອງເວັບວ່າໃບຢັ້ງຢືນນີ້ບໍ່ມີຄວາມຫນ້າເຊື່ອຖື, ແລະເຄື່ອງແມ່ຂ່າຍຂອງທ່ານຈະລົ້ມເຫລວໃນການທົດສອບຈາກ Qualys SSL Labs.

ອັນທີສອງແມ່ນໃບຢັ້ງຢືນການຄ້າ SSL ທີ່ລົງນາມໂດຍເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນ. ໃບຢັ້ງຢືນດັ່ງກ່າວຖືກຍອມຮັບໄດ້ງ່າຍໂດຍຕົວທ່ອງເວັບແລະປົກກະຕິແລ້ວຖືກນໍາໃຊ້ສໍາລັບການນໍາໃຊ້ທາງການຄ້າຂອງ Zimbra OSE. ທັນທີຫຼັງຈາກການຕິດຕັ້ງທີ່ຖືກຕ້ອງຂອງໃບຢັ້ງຢືນການຄ້າ, Zimbra OSE 8.8.15 ສະແດງໃຫ້ເຫັນຄະແນນ A ໃນການທົດສອບຈາກ Qualys SSL Labs. ນີ້ແມ່ນຜົນໄດ້ຮັບທີ່ດີເລີດ, ແຕ່ເປົ້າຫມາຍຂອງພວກເຮົາແມ່ນເພື່ອບັນລຸຜົນໄດ້ຮັບ A+.

ເພື່ອບັນລຸຄະແນນສູງສຸດໃນການທົດສອບຈາກ Qualys SSL Labs ເມື່ອໃຊ້ Zimbra Collaboration Suite Open-Source Edition, ທ່ານຕ້ອງເຮັດສໍາເລັດຫຼາຍຂັ້ນຕອນ:

1. ການເພີ່ມພາລາມິເຕີຂອງອະນຸສັນຍາ Diffie-Hellman

ໂດຍຄ່າເລີ່ມຕົ້ນ, ອົງປະກອບ Zimbra OSE 8.8.15 ທັງໝົດທີ່ໃຊ້ OpenSSL ມີການຕັ້ງຄ່າໂປໂຕຄອນ Diffie-Hellman ເປັນ 2048 bits. ໃນຫຼັກການ, ນີ້ແມ່ນຫຼາຍກ່ວາພຽງພໍທີ່ຈະໄດ້ຮັບຄະແນນ A+ ໃນການທົດສອບຈາກ Qualys SSL Labs. ຢ່າງໃດກໍຕາມ, ຖ້າທ່ານກໍາລັງອັບເກຣດຈາກຮຸ່ນເກົ່າ, ການຕັ້ງຄ່າອາດຈະຕ່ໍາກວ່າ. ດັ່ງນັ້ນ, ມັນແນະນໍາໃຫ້ຫຼັງຈາກການປັບປຸງສໍາເລັດ, ດໍາເນີນການຄໍາສັ່ງ zmdhparam set -new 2048, ເຊິ່ງຈະເພີ່ມພາລາມິເຕີຂອງໂປໂຕຄອນ Diffie-Hellman ເປັນ 2048 bits ທີ່ຍອມຮັບ, ແລະຖ້າຕ້ອງການ, ການນໍາໃຊ້ຄໍາສັ່ງດຽວກັນ, ທ່ານສາມາດເພີ່ມຂຶ້ນ. ມູນຄ່າຂອງພາລາມິເຕີເປັນ 3072 ຫຼື 4096 bits, ເຊິ່ງໃນດ້ານຫນຶ່ງຈະນໍາໄປສູ່ການເພີ່ມເວລາການຜະລິດ, ແຕ່ໃນອີກດ້ານຫນຶ່ງຈະມີຜົນກະທົບທາງບວກຕໍ່ລະດັບຄວາມປອດໄພຂອງເຄື່ອງແມ່ຂ່າຍເມລ.

2. ລວມທັງບັນຊີລາຍຊື່ທີ່ແນະນໍາຂອງ ciphers ທີ່ໃຊ້

ໂດຍຄ່າເລີ່ມຕົ້ນ, Zimbra Collaborataion Suite Open-Source Edition ຮອງຮັບການເຂົ້າລະຫັດທີ່ແຂງແຮງ ແລະ ອ່ອນແອຫຼາຍປະເພດ, ເຊິ່ງເຂົ້າລະຫັດຂໍ້ມູນຜ່ານການເຊື່ອມຕໍ່ທີ່ປອດໄພ. ຢ່າງໃດກໍ່ຕາມ, ການໃຊ້ລະຫັດລັບທີ່ອ່ອນແອເປັນຂໍ້ເສຍທີ່ຮ້າຍແຮງເມື່ອກວດເບິ່ງຄວາມປອດໄພຂອງການເຊື່ອມຕໍ່ SSL. ເພື່ອຫຼີກເວັ້ນການນີ້, ທ່ານຈໍາເປັນຕ້ອງ configure ບັນຊີລາຍຊື່ຂອງ ciphers ນໍາໃຊ້.

ເພື່ອເຮັດສິ່ງນີ້, ໃຊ້ຄໍາສັ່ງ zmprov mcf zimbraReverseProxySSLCiphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4'

ຄໍາສັ່ງນີ້ທັນທີປະກອບມີຊຸດຂອງລະຫັດລັບທີ່ແນະນໍາແລະຂໍຂອບໃຈກັບມັນ, ຄໍາສັ່ງສາມາດລວມເອົາລະຫັດລັບທີ່ເຊື່ອຖືໄດ້ໃນບັນຊີລາຍຊື່ທັນທີແລະຍົກເວັ້ນສິ່ງທີ່ບໍ່ຫນ້າເຊື່ອຖື. ດຽວນີ້ສິ່ງທີ່ຍັງເຫຼືອແມ່ນໃຫ້ restart nodes proxy reverse ໂດຍໃຊ້ຄໍາສັ່ງ zmproxyctl restart. ຫຼັງຈາກປິດເປີດເຄື່ອງໃໝ່, ການປ່ຽນແປງທີ່ສ້າງຂຶ້ນຈະມີຜົນ.

ຖ້າບັນຊີລາຍຊື່ນີ້ບໍ່ເຫມາະສົມກັບທ່ານດ້ວຍເຫດຜົນຫນຶ່ງຫຼືເຫດຜົນອື່ນ, ທ່ານສາມາດເອົາລະຫັດລັບທີ່ອ່ອນແອອອກຈາກມັນໂດຍໃຊ້ຄໍາສັ່ງ. zmprov mcf +zimbraSSLExcludeCipherSuites. ດັ່ງນັ້ນ, ສໍາລັບການຍົກຕົວຢ່າງ, ຄໍາສັ່ງ zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites TLS_ECDHE_RSA_WITH_RC4_128_SHA, ເຊິ່ງຈະລົບລ້າງການນໍາໃຊ້ຂອງ RC4 ciphers ຢ່າງສົມບູນ. ດຽວກັນສາມາດເຮັດໄດ້ກັບ AES ແລະ 3DES ciphers.

3. ເປີດໃຊ້ HSTS

ກົນໄກທີ່ເປີດໃຊ້ງານເພື່ອບັງຄັບການເຂົ້າລະຫັດການເຊື່ອມຕໍ່ແລະການຟື້ນຕົວຂອງເຊດຊັນ TLS ແມ່ນຍັງຕ້ອງການເພື່ອບັນລຸຄະແນນທີ່ສົມບູນແບບໃນການທົດສອບ Qualys SSL Labs. ເພື່ອເປີດໃຊ້ພວກມັນ, ທ່ານຕ້ອງໃສ່ຄໍາສັ່ງ zmprov mcf +zimbraResponseHeader "Strict-Transport-Security: max-age=31536000". ຄໍາສັ່ງນີ້ຈະເພີ່ມສ່ວນຫົວທີ່ຈໍາເປັນເຂົ້າໃນການຕັ້ງຄ່າ, ແລະເພື່ອໃຫ້ການຕັ້ງຄ່າໃຫມ່ມີຜົນ, ທ່ານຈະຕ້ອງປິດເປີດ Zimbra OSE ຄືນໃໝ່ໂດຍໃຊ້ຄໍາສັ່ງ. zmcontrol restart.

ແລ້ວໃນຂັ້ນຕອນນີ້, ການທົດສອບຈາກ Qualys SSL Labs ຈະສະແດງການຈັດອັນດັບ A+, ແຕ່ຖ້າທ່ານຕ້ອງການປັບປຸງຄວາມປອດໄພຂອງເຄື່ອງແມ່ຂ່າຍຂອງທ່ານຕື່ມອີກ, ມີມາດຕະການອື່ນໆທີ່ທ່ານສາມາດປະຕິບັດໄດ້.

ຕົວຢ່າງ, ທ່ານສາມາດເປີດໃຊ້ການເຂົ້າລະຫັດລັບຂອງການເຊື່ອມຕໍ່ລະຫວ່າງຂະບວນການ, ແລະທ່ານຍັງສາມາດເປີດໃຊ້ການເຂົ້າລະຫັດແບບບັງຄັບເມື່ອເຊື່ອມຕໍ່ກັບບໍລິການ Zimbra OSE. ເພື່ອກວດສອບການເຊື່ອມຕໍ່ລະຫວ່າງຂະບວນການ, ໃຫ້ໃສ່ຄໍາສັ່ງຕໍ່ໄປນີ້:

zmlocalconfig -e ldap_starttls_supported=1
zmlocalconfig -e zimbra_require_interprocess_security=1
zmlocalconfig -e ldap_starttls_required=true

ເພື່ອເປີດໃຊ້ການເຂົ້າລະຫັດລັບ, ກະລຸນາໃສ່:

zmprov gs `zmhostname` zimbraReverseProxyMailMode
zmprov ms `zmhostname` zimbraReverseProxyMailMode https

zmprov gs `zmhostname` zimbraMailMode
zmprov ms `zmhostname` zimbraMailMode https

zmprov gs `zmhostname` zimbraReverseProxySSLToUpstreamEnabled
zmprov ms `zmhostname` zimbraReverseProxySSLToUpstreamEnabled TRUE

ຂໍຂອບໃຈກັບຄຳສັ່ງເຫຼົ່ານີ້, ການເຊື່ອມຕໍ່ທັງໝົດກັບເຊີບເວີພຣັອກຊີ ແລະເຊີບເວີເມລຈະຖືກເຂົ້າລະຫັດ, ແລະການເຊື່ອມຕໍ່ທັງໝົດນີ້ຈະຖືກພຣັອກຊີ.

ດັ່ງນັ້ນ, ປະຕິບັດຕາມຄໍາແນະນໍາຂອງພວກເຮົາ, ທ່ານບໍ່ພຽງແຕ່ສາມາດບັນລຸໄດ້ຄະແນນສູງສຸດໃນການທົດສອບຄວາມປອດໄພການເຊື່ອມຕໍ່ SSL, ແຕ່ຍັງຢ່າງຫຼວງຫຼາຍເພີ່ມຄວາມປອດໄພຂອງໂຄງສ້າງພື້ນຖານ Zimbra OSE ທັງຫມົດ.

ສໍາລັບຄໍາຖາມທັງຫມົດທີ່ກ່ຽວຂ້ອງກັບ Zextras Suite, ທ່ານສາມາດຕິດຕໍ່ຜູ້ຕາງຫນ້າຂອງ Zextras Ekaterina Triandafilidi ໂດຍທາງອີເມລ໌ [email protected]

ແຫຼ່ງຂໍ້ມູນ: www.habr.com