Если проверить любой AWS Application LoadBalancer с сертификатом из AWS Certificate Manager с настройками HTTPS Listener по-умолчанию – то получим уровень В, что, конечно, не слишком красиво: Основная “претензия” SSL Labs – поддержка версий TLS 1.0 и 1.1, которые уже считаются устаревшими. AWS LoadBalancer SecurityPolicy и версии TLS За поддерживаемые версии SSL/TLS в AWS отвечают… Читать далее »
Вся моя почта бегает через маленький VPS в дата-центре “Воля”. Настроена она была ещё в 07/12/2014 и до сих пор работает отлично (CentOS: установка и настройка Dovecot 2 + Exim + ClamAV + Postfixadmin). Один недостаток – тогда я поленился добавить SSL/TLS, что недавно и исправил. Проверить почтовый сервер можно на странице http://emailsecuritygrader.com – изначально он мне… Читать далее »
RTFM на старом сервере работает по 80 порту, HTTP. Каждый раз после изменения /etc/hosts, для того что бы зайти на старую копию блога – Chromium выполняет переадресацию на HTTPS 443. Вызывается такая передресация заголовками STS (Strict-Transport-Security) для HTTP (HSTS): … Strict-Transport-Security:max-age=15768000 Strict-Transport-Security:max-age=31536000; includeSubdomains …
Let’s Encrypt – относительно новый Certificate Authority (CA) провайдер, который раздает TLS/SSL сертификаты бесплатно. На сегодня – Let’s Encrypt еще в открытой бете, однако работает. Не хватает поддержки NGINX и виртуальных хостов – но доделают. Пока – подключим Let’s Encrypt и NGINX с помощью плагина Webroot. Схема того, как работает Let’s Encrypt и NGINX:
При подключении к серверу с self-signed сертификатом – Chrome выдал сообщение об ошибке: NET::ERR_CERT_AUTHORITY_INVALID You cannot visit ***.com right now because the website uses HSTS. Network errors and attacks are usually temporary, so this page will probably work later. …
В связи с продлением нашего wildcard-сертификата – необходимо создать CSR из старых сертификатов на некоторых серверах. Кроме того – в сертификате используются SAN (Subject Alternative Name) – и их требуется перечислить при создании запроса. Есть два варианта: передать параметры из командной строки – либо настроить OpenSSL.
По сути сертификат X.509 – это цифровой документ, который был зашифрован и/или имеет цифровую подпись согласно RFC 5280. Фактически термин сертификат X.509 как правило подразумевает сертификат IETF’s PKIX и профайл CRL стандарта X.509 v3, который описывается в RFC 5280, более широко известный как PKIX – Public Key Infrastructure (X.509). Расширения файла X509 Первое, с чем необходимо разобраться – это чем является каждый из типов расширений,… Читать далее »
Что такое TLS можно почитать тут>>>. Наша задача – обеспечить шифрование между LDAP-сервером и его клиентом – phpLdapAdmin. Хотя они и работают в данном случае на одном хосте – но даже в таком случае это имеет смысл, особенно – если на сервере имеются учётные записи для других пользователей с доступом к консоли. Почему – будет… Читать далее »
Иногда, например во время настройки почтового сервера, надо быстро проверить работу сервисов. В примере это Postfix + Dovecot . Обратными слешами // отмечены комментарии.