教程： SSL/TLS 在亚马逊 Linux 上配置 AMI

连接到您的实例并确认 Apache 正在运行。

[ec2-user ~]$ sudo service httpd status

如有必要，启动 Apache。

[ec2-user ~]$ sudo service httpd start

为确保您的所有软件包都处于最新状态，请对您的实例执行快速软件更新。此过程可能需要几分钟的时间，但必须确保您拥有最新的安全更新和缺陷修复。

[ec2-user ~]$ sudo yum update -y

现在，您的实例是最新的，请安装 Apache 模块 mod_ssl 以添加 TLS 支持：

[ec2-user ~]$ sudo yum install -y mod_ssl

您的实例现在具有以下文件，可使用这些文件配置安全服务器并创建证书以进行测试：

.key 和 .crt 文件均为 PEM 格式，其中包含采用 Base64 编码的 ASCII 字符，并用“BEGIN”和“END”行框起来，如下面的简短证书示例所示：

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t
MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK
DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV
bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy
...
z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0
WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak
3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg==
-----END CERTIFICATE-----

文件名和扩展名只是为了提供便利，对功能没有影响；只要 cert.crt 文件中的相关指令使用相同的名称，您可以将证书命名为 cert.pem、ssl.conf 或任何其他文件名。

重启 Apache。

[ec2-user ~]$ sudo service httpd restart

现在，您的 Apache Web 服务器应通过端口 443 支持 HTTPS (安全 HTTP)。通过在带有前缀的浏览器 URL 栏中键入 EC2实例的 IP 地址或完全限定域名来对其进行测试https://。由于您正在使用自签名的不可信主机证书连接到站点，因此您的浏览器可能会显示一系列安全警告。

忽视这些警告并继续连接站点。如果默认 Apache 测试页面打开，这意味着您已成功在服务器上配置 TLS。在浏览器和服务器之间传输的所有数据现在都被安全地加密了。

为了防止站点访问者遇到警告屏幕，您需要获取一个证书，该证书不仅用于加密，而且还用于公开验证您的站点所有者身份。

连接到您的实例并导航到etc/pki/tls/private//。这是存储适用于 TLS 的服务器私有密钥的目录。如果您希望使用现有主机密钥来生成 CSR，请跳至步骤 3。

(可选) 生成新的私有密钥。下面是一些密钥配置示例。任何生成的密钥都将用于 Web 服务器，但它们实施安全的方式和程度有所不同。

确保新的私钥具有高度限制的所有权和权限（owner=root，group=root，仅适用于所有者）。 read/write 命令如下：

[ec2-user ~]$ sudo chown root.root custom.key
[ec2-user ~]$ sudo chmod 600 custom.key
[ec2-user ~]$ ls -al custom.key

上述命令应生成以下结果：

-rw------- root root custom.key

在创建并配置满意的密钥后，可以创建 CSR。

使用您的首选密钥创建 CSR；下面的示例将使用 custom.key：

[ec2-user ~]$ sudo openssl req -new -key custom.key -out csr.pem

OpenSSL 将打开一个对话框，并提示您输入下表中显示的信息。对于基本的经域验证的主机证书来说，除 Common Name 以外的所有字段都是可选字段。

最后，OpenSSL 将提示您输入可选的质询密码。此密码仅适用于 CSR 和您与 CA 之间的事务，因此请遵循 CA 提供的有关此密码以及其他可选字段、可选公司名的建议。CSR 质询密码不会影响服务器操作。

生成的文件 csr.pem 包含您的公有密钥、您的公有密钥的数字签名以及您输入的元数据。

将 CSR 提交给 CA。这通常包括在文本编辑器中打开 CSR 文件并将内容复制到 Web 表格中。此时，可能会要求您提供一个或多个主题备用名称 (SANs) 以放在证书上。如果 www.example.com 是公用名，则 example.com 将是一个很好的 SAN，反之亦然。您网站的访客如果键入这两个名称的任何一个，便可看到一个没有错误的连接。如果您的 CA Web 表单允许，请在列表中包含常用名 SANs。有些是自动 CAs 包含的。

在您的请求获得批准后，您将收到一个由 CA 签署的新主机证书。此外，系统可能会指示您下载中间证书文件，该文件包含完成 CA 的信任链所需的其他证书。

- - - - -BEGIN CERTIFICATE - - - - - 

- - - -END CERTIFICATE - - - - -

[ec2-user certs]$ openssl x509 -in certificate.crt -text

将新的 CA 签名证书和任何中间证书放在 /etc/pki/tls/certs 目录中。

在/etc/pki/tls/certs目录内部，使用以下命令验证文件所有权、组和权限设置是否符合严格限制的 Amazon Linux 默认设置（owner=root，group=root，仅适用于所有者）。 read/write

[ec2-user certs]$ sudo chown root.root custom.crt
[ec2-user certs]$ sudo chmod 600 custom.crt
[ec2-user certs]$ ls -al custom.crt

上述命令应生成以下结果：

-rw------- root root custom.crt

中间证书文件的权限并不严格 (所有者=根、组=根、所有者可以写入、组可以读取、任何人均可读取)。命令如下：

[ec2-user certs]$ sudo chown root.root intermediate.crt
[ec2-user certs]$ sudo chmod 644 intermediate.crt
[ec2-user certs]$ ls -al intermediate.crt

上述命令应生成以下结果：

-rw-r--r-- root root intermediate.crt

如果您使用自定义密钥创建您的 CSR 和由此生成的主机证书，请从 /etc/pki/tls/private/ 目录中删除或重命名旧密钥，然后在该目录中安装新密钥。

在/etc/pki/tls/private目录内部，检查文件所有权、群组和权限设置是否符合严格限制的 Amazon Linux 默认设置（owner=root、group=root，仅适用于所有者）。 read/write 命令如下：

[ec2-user private]$ sudo chown root.root custom.key
[ec2-user private]$ sudo chmod 600 custom.key
[ec2-user private]$ ls -al custom.key

上述命令应生成以下结果：

-rw------- root root custom.key

编辑 /etc/httpd/conf.d/ssl.conf 以反映您的新证书和密钥文件。

1. 在 Apache 的 SSLCertificateFile 指令中提供 CA 签名主机证书的路径和文件名：

   SSLCertificateFile /etc/pki/tls/certs/custom.crt

2. 如果您收到一个中间证书文件（此示例中为 intermediate.crt），请使用 Apache 的 SSLCACertificateFile 指令提供其路径和文件名：

   SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

   注意

   有些证书将主机证书和中间证书 CAs 合并到一个文件中，因此没有必要使用此指令。请查询您的 CA 提供的说明。

3. 在 Apache 的 SSLCertificateKeyFile 指令中提供私有密钥的路径和文件名：

   SSLCertificateKeyFile /etc/pki/tls/private/custom.key

保存 /etc/httpd/conf.d/ssl.conf 并重启 Apache。

[ec2-user ~]$ sudo service httpd restart

通过在浏览器 URL 栏中输入带有 https:// 前缀的域名来测试您的服务器。您的浏览器应通过 HTTPS 加载测试页面而不会产生错误。

在文本编辑器中打开 /etc/httpd/conf.d/ssl.conf 配置文件，并在以下每个行的开头键入“#”来注释掉这些行：

#SSLProtocol all -SSLv3
#SSLProxyProtocol all -SSLv3

添加以下指令：

SSLProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2
SSLProxyProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2

这些指令显式禁用 SSL 版本 2 和 3，以及 TLS 版本 1.0 和 1.1。现在，服务器拒绝接受与使用 TLS 1.2 以外的任何协议的客户端之间的加密连接。指令中冗长的文字可更清楚地告知人类读者服务器的作用。

打开配置文件 /etc/httpd/conf.d/ssl.conf，找到包含用于配置 SSLCipherSuite 和 SSLProxyCipherSuite 的已注释掉的示例的部分。

#SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
#SSLProxyCipherSuite HIGH:MEDIUM:!aNULL:!MD5

保留它们不变，并在它们下面添加以下指令：

SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:
ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:AES:!aNULL:!eNULL:!EXPORT:!DES:
!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

SSLProxyCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:
ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:AES:!aNULL:!eNULL:!EXPORT:!DES:
!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

这些密码是 OpenSSL 中更长的受支持密码列表的子集。根据以下标准选择这些密码并对其进行排序：

高级密码的名称中具有 ECDHE（表示 Elliptic Curve Diffie-Hellman Ephemeral）；ephemeral 表示向前保密性。而且， RC4 现在已接近尾声的禁用密码之一。

建议您使用密码的明确列表，而不依赖于内容不可见的默认值或简短指令。此处显示的密码列表只是很多可能的列表之一；例如，您可能希望优化列表以加快速度而不是向前保密性。

如果您预计需要支持较旧的客户端，则可以允许使用 DES CBC3--SHA 密码套件。

对 OpenSSL 的每次更新将引入新密码并弃用旧密码。保持您的 EC2 Amazon Linux 实例处于最新状态，注意来自 OpenSSL 的安全公告，并警惕技术媒体上有关新安全漏洞的报道。

通过删除“#”取消对以下行的注释：

#SSLHonorCipherOrder on

该命令强制服务器优先选择高级密码，包括 (在此示例中) 支持向前保密性的密码。启用此指令后，服务器会在回滚到允许的安全性较低的密码之前尝试建立高度安全的连接。

重启 Apache。如果你在 Qualys SSL Labs 上再次测试该域名，你应该会看到 RC4 漏洞已经消失。