Comment puis-je désactiver TLS 1.0 et 1.1 dans Apache?

Est-ce que quelqu'un sait pourquoi je ne peux pas désactiver tls 1.0 et tls1.1 en mettant à jour la config.

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 

Après cela, je recharge apache, je fais un scan ssl en utilisant ssllabs ou l'outil sod comodo, et il dit toujours que les tls 1.1 et 1.0 sont pris en charge. Je voudrais les supprimer?

Lorsque vous avez plusieurs hôtes virtuels TLS et utilisez l'indication de nom de serveur (SNI), c'est une syntaxe autorisée d'avoir une SSLProtocol directive pour chaque hôte virtuel, mais sauf si vous avez des hôtes virtuels IP dans la pratique, les paramètres de la première occurrence de la SSLProtocoldirective sont utilisés pour l'ensemble du serveur et / ou tous les VirtualHosts basés sur le nom prenant en charge TLS ¹ .

Vérifiez donc votre principal httpd.conf(et tous les extraits inclus par exemple et les inclusions conf.d/*.confsimilaires) pour plus d'occurrences de la SSLProtocoldirective.

Votre syntaxe est correcte, même si je suis d'accord avec la réponse d' Ezra-s selon laquelle, lorsque vous développez le allraccourci, vous pouvez légèrement améliorer:

 SSLProtocol +SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2 -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 

en utilisant simplement:

 SSLProtocol TLSv1.2

que vous avez spécifié est suffisant, il ne devrait afficher aucun autre protocole. N'oubliez pas que SSLLABS met en cache les tests récents. Bien que sachant qu'il n'y a pas d'autres protocoles le définissant comme vous l'avez fait, c'est un peu compliqué exprès.

Dans tous les cas, vous pouvez l'utiliser ou simplement:

SSLProtocol TLSv1.2

Je me débattais également avec ce problème, la modification des configurations avec la SSLProtocoldirective ne fonctionnait pas. J'ai fini par ajouter ce qui suit à ma configuration d'hôte virtuel:

SSLOpenSSLConfCmd Protocol "-ALL, TLSv1.2"

Ce qui a parfaitement fonctionné. Vous pouvez en savoir plus sur la SSLOpenSSLConfCmddirective ici .

Désactivez la version TLS1.0 dans Apache.

Si vous avez plusieurs hébergements virtuels, vous devez mettre à jour tous les fichiers de configuration, sinon, ssl.conf suffit.

Pour vérifier la version prise en charge TSL:

# nmap --script ssl-enum-ciphers -p 443 192.168.11.10 | grep TLSv
|   TLSv1.0:
|   TLSv1.1:
|   TLSv1.2:

Modifiez le fichier de configuration Apache vi /etc/httpd/conf.d/web.confsupprimez tous les TLS et autorisez uniquement TLS1.2.

SSLProtocol TLSv1.2

Validez après la modification.

# grep SSLProtocol /etc/httpd/conf.d/web.conf
SSLProtocol TLSv1.2

# nmap --script ssl-enum-ciphers -p 443 192.168.11.10 | grep TLSv
|   TLSv1.2:
# service httpd restart

Vous devez redémarrer le service Apache à l'aide de la commande suivante pour refléter les modifications.

sudo service apache2 restart

Le code ci-dessous fonctionnera bien pour moi, vous pouvez consulter cet article pour obtenir plus de détails, https://karthikekblog.com/how-to-disable-enable-ssl-tls-protocols-in-ubentu-apache-linux-server/

<VirtualHost *:443>
ServerName www.yourdomain.com
DocumentRoot /var/www/html
SSLEngine on
SSLProtocol +TLSv1.2
SSLCertificateFile /etc/apache2/certificates/certificate.crt
SSLCertificateKeyFile /etc/apache2/certificates/certificate.key 
SSLCertificateChainFile /etc/apache2/certificates/intermediate.crt
</VirtualHost>