{"id":86701,"date":"2020-06-28T19:42:14","date_gmt":"2020-06-28T17:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition"},"modified":"2020-06-28T19:42:14","modified_gmt":"2020-06-28T17:42:14","slug":"uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","title":{"rendered":"Verbetering van de beveiligingsparameters van de SSL-verbinding in Zimbra Collaboration Suite Open-Source Edition","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

De betrouwbaarheid van encryptie is een van de belangrijkste indicatoren bij het gebruik van informatiesystemen voor bedrijven, aangezien ze dagelijks betrokken zijn bij de overdracht van enorme hoeveelheden vertrouwelijke informatie. Een algemeen erkende manier om de kwaliteit van een SSL-verbinding te beoordelen, is een onafhankelijk test van Qualys SSL Labs. Aangezien deze test door iedereen kan worden uitgevoerd, is het voor SaaS-leveranciers bijzonder belangrijk dat de score in deze test optimaal is. Niet alleen SaaS-leveranciers, maar ook reguliere bedrijven maken zich zorgen over de kwaliteit van de SSL-verbinding. Voor hen is deze test een uitstekende kans om potenti\u00eble kwetsbaarheden te identificeren en vooraf alle achterdeurtjes voor cybercriminelen te sluiten.<\/p>\n

\"Verbetering<\/a><\/noindex>
\nIn Zimbra OSE zijn twee soorten toegestaan SSL-certificaten<\/a>. De eerste is een zelfondertekende certificaat die automatisch wordt toegevoegd bij de installatie. Dit certificaat is gratis en heeft geen tijdslimiet, waardoor het ideaal is voor het testen van Zimbra OSE of het gebruik ervan uitsluitend binnen een intern netwerk. Echter, wanneer gebruikers inloggen op de webclient, zullen ze een waarschuwing van de browser zien dat dit certificaat niet betrouwbaar is, en de test van Qualys SSL Labs zal uw server zeker laten falen.<\/p>\n

De tweede is een commerci\u00eble SSL-certificaat, ondertekend door een certificeringsinstantie. Dergelijke certificaten worden probleemloos geaccepteerd door browsers en worden normaal gebruikt bij commerci\u00eble exploitatie van Zimbra OSE. Direct na de correcte installatie van een commercieel certificaat toont Zimbra OSE 8.8.15 een score van A in de test van Qualys SSL Labs. Dit is een uitstekend resultaat, maar ons doel is om een A+ te bereiken.<\/p>\n

\"Verbetering
\n
\n\"Verbetering
\n
\nOm de hoogste score in de test van Qualys SSL Labs te behalen bij het gebruik van Zimbra Collaboration Suite Open-Source Edition, moeten een aantal stappen worden ondernomen:<\/p>\n

1. Verhoging van de parameters van het Diffie-Hellman-protocol<\/b><\/p>\n

Standaard is de waarde van de Diffie-Hellman protocolparameters in alle Zimbra OSE 8.8.15 componenten die OpenSSL gebruiken 2048 bits. Dit is in principe meer dan voldoende voor een A+ beoordeling in de test van Qualys SSL Labs. Echter, als u een upgrade uitvoert vanaf oudere versies, kan de waarde van de parameters lager zijn. Daarom wordt het aanbevolen om na de upgrade het commando zmdhparam set -new 2048 uit te voeren, wat de Diffie-Hellman protocolparameters zal verhogen tot de acceptabele 2048 bits. Tevens kunt u met ditzelfde commando de parameters verhogen tot 3072 of 4096 bits, wat enerzijds de generatietijd zal verhogen, maar anderzijds de beveiligingsniveaus van de mailserver positief zal be\u00efnvloeden.<\/p>\n

2. Het inschakelen van de aanbevolen lijst met gebruikte versleutelingen<\/b><\/p>\n

Standaard ondersteunt de Zimbra Collaboration Suite Open-Source Edition een breed scala aan sterke en zwakke versleutelingsmethoden die de data versleutelen tijdens een beveiligde verbinding. Het gebruik van zwakke versleutelingen is echter een groot nadeel bij het controleren van de beveiliging van een SSL-verbinding. Om dit te voorkomen, moet u de lijst met gebruikte versleutelingen instellen.<\/p>\n

Hiervoor moet u het volgende commando gebruiken zmprov mcf zimbraReverseProxySSLCiphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4'<\/code><\/p>\n

In dit commando is een set aanbevolen versleutelingen direct opgenomen. Hierdoor kunt u direct betrouwbare versleutelingen in de lijst opnemen en onbetrouwbare uitsluiten. Het enige wat u nu nog hoeft te doen is de knooppunten met de reverse proxies opnieuw op te starten met het commando zmproxyctl restart. Na de herstart worden de aangebrachte wijzigingen van kracht.<\/p>\n

Als deze lijst om welke reden dan ook niet aan uw wensen voldoet, kunt u verschillende zwakke versleutelingen uit deze lijst verwijderen met het commando zmprov mcf +zimbraSSLExcludeCipherSuites<\/code>. Bijvoorbeeld, het commando zmprov mcf +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites TLS_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_MD5 +zimbraSSLExcludeCipherSuites SSL_RSA_WITH_RC4_128_SHA +zimbraSSLExcludeCipherSuites TLS_ECDHE_RSA_WITH_RC4_128_SHA<\/code>, die volledig het gebruik van RC4-coderingen uitsluit. Je kunt hetzelfde doen met AES- en 3DES-coderingen.<\/p>\n

3. Inschakelen van HSTS<\/b><\/p>\n

Ingeschakelde mechanismen voor het afdwingen van versleuteling van de verbinding en het herstel van de TLS-sessie zijn ook verplichte voorwaarden voor het behalen van de hoogste score in de test van Qualys SSL Labs. Om deze in te schakelen, moet je het volgende commando invoeren zmprov mcf +zimbraResponseHeader \"Strict-Transport-Security: max-age=31536000\"<\/code>. Dit commando voegt de vereiste header toe aan de configuratie, en om de nieuwe instellingen van kracht te laten worden, moet je Zimbra OSE opnieuw opstarten met het commando zmcontrol restart<\/b>.<\/p>\n

Al in dit stadium zal de test van Qualys SSL Labs een beoordeling van A+ tonen, maar als je de beveiliging van je server verder wilt verbeteren, zijn er nog verschillende maatregelen mogelijk.<\/p>\n

\"Verbetering
\n
\nBijvoorbeeld, je kunt gedwongen versleuteling van interprocess-verbindingen inschakelen en gedwongen versleuteling bij verbindingen met Zimbra OSE-services inschakelen. Om interprocess-verbindingen te controleren, voer je de volgende commando's in:<\/p>\n

zmlocalconfig -e ldap_starttls_supported=1\nzmlocalconfig -e zimbra_require_interprocess_security=1\nzmlocalconfig -e ldap_starttls_required=true<\/code><\/pre>\n
\nOm gedwongen versleuteling in te schakelen, moet je invoeren:<\/p>\n
zmprov gs `zmhostname` zimbraReverseProxyMailMode\nzmprov ms `zmhostname` zimbraReverseProxyMailMode https\n\nzmprov gs `zmhostname` zimbraMailMode\nzmprov ms `zmhostname` zimbraMailMode https\n\nzmprov gs `zmhostname` zimbraReverseProxySSLToUpstreamEnabled\nzmprov ms `zmhostname` zimbraReverseProxySSLToUpstreamEnabled TRUE<\/code><\/pre>\n
Met deze commando's worden alle verbindingen met de proxy-servers<\/a> en mailservers versleuteld, en wordt al deze verbindingen geproxied.<\/p>\n
\"Verbetering
\n
\nOp deze manier kun je, door onze aanbevelingen te volgen, niet alleen de hoogste score behalen in de SSL-beveiligingstest, maar ook de beveiliging van de gehele Zimbra OSE-infrastructuur aanzienlijk verbeteren.<\/p>\n
Voor vragen over Zextras Suite kunt u contact opnemen met de vertegenwoordiger van het bedrijf 'Zextras', Ekaterina Triandafiliadi, via e-mail katerina@zextras.com
\n
Bron: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0445 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c \u0434\u043b\u044f \u0431\u0438\u0437\u043d\u0435\u0441\u0430, \u0432\u0435\u0434\u044c \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u043e \u043e\u043d\u0438 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438. \u041e\u0431\u0449\u0435\u043f\u0440\u0438\u043d\u044f\u0442\u044b\u043c \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u043e\u043c \u043e\u0446\u0435\u043d\u043a\u0438 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0430 SSL-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u044b\u0439 \u0442\u0435\u0441\u0442 \u043e\u0442 Qualys SSL Labs. \u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0434\u0430\u043d\u043d\u044b\u0439 \u0442\u0435\u0441\u0442 \u043c\u043e\u0436\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043a\u0442\u043e \u0443\u0433\u043e\u0434\u043d\u043e, \u0434\u043b\u044f SaaS-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0432\u0430\u0436\u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u043e\u0446\u0435\u043d\u043a\u0430 \u0432 \u044d\u0442\u043e\u043c \u0442\u0435\u0441\u0442\u0435 \u0431\u044b\u043b\u0430 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0439. \u041e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":86702,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-86701","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Verbetering van de SSL-beveiligingsparameters in Zimbra Collaboration Suite Open-Source Edition | ProHoster","description":"De betrouwbaarheid van versleuteling is een van de belangrijkste indicatoren bij het gebruik van informatiesystemen voor bedrijven, aangezien zij dagelijks betrokken zijn bij de overdracht van enorme hoeveelheden vertrouwelijke informatie.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u043b\u0443\u0447\u0448\u0435\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 SSL-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0432 Zimbra Collaboration Suite Open-Source Edition | ProHoster","og:description":"\u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0445 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c \u0434\u043b\u044f \u0431\u0438\u0437\u043d\u0435\u0441\u0430, \u0432\u0435\u0434\u044c \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u043e \u043e\u043d\u0438 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0433\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438.","og:url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/uluchshenie-parametrov-bezopasnosti-ssl-soedineniya-v-zimbra-collaboration-suite-open-source-edition","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-28T17:42:14+00:00","article:modified_time":"2020-06-28T17:42:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"86701","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:09:18","updated":"2026-02-19 09:14:02","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/86701","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=86701"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/86701\/revisions"}],"predecessor-version":[{"id":161810,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/86701\/revisions\/161810"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media\/86702"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=86701"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=86701"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=86701"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}