Настройка надёжного SSL для NginX и Apache

В этой статье перечислены основные настройки для повышения безопасности серверов Apache и Nginx.

Принудительное использование зашифрованного соединения

Часто веб-серверы настроены таким образом, чтобы перенаправлять пользователя с незащищённого HTTP соединения на защищённое HTTPS. Но мало просто перенаправить пользователя, нужно ещё дать команду браузеру о том, что сайтом можно пользоваться только по зашифрованному каналу. Иначе открытый канал передачи данных останется доступен.

Допустим, домен вашего сайта example.com. Пользователь заходит по адресу http://example.com, а веб-сервер автоматически перенаправляет его на https://example.com. После этого он логинится. Затем в мессенджере пользователь кликает на ссылку http://example.com. В этот момент браузер отправляет запрос со всеми данными авторизации по открытому каналу.

Этой утечки можно избежать, добавив всего одну строчку в конфигурацию веб-сервера. После первого посещения сайта по зашифрованному соединению, браузер получит команду о том, что сайтом необходимо пользоваться только по протоколу HTTPS. За эту функцию отвечает заголовок Strict-Transport-Security.

Активация XSS-защиты

XSS уязвимости это целый набор всевозможных способов атак. Заголовок X-XSS-Protection может предотвратить некоторые XSS-атаки.

Запрет использования сайта в iFrame

Если ваш сайт можно загрузить в iFrame, то вы уязвимы для Clickjacking атак. Заголовок X-Frame-Options позволяет снизить уязвимость.

Использование последних версий TLS

TLS это протокол для защищённого обмена данными. Важно использовать его актуальные версии TLS v1.2 и TLS v1.3.

Forward Secrecy

Вы можете указать своему серверу использовать усиленные методы шифрования.

Конфигурация Nginx

Добавьте эти строчки в секцию server {} в файл настройки виртуального хоста. Вы можете найти её по строчке listen 443;.

add_header Strict-Transport-Security "max-age=31536000;includeSubDomains" always;
add_header X-XSS-Protection "1; mode=block";
add_header X-Frame-Options "SAMEORIGIN";

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers "HIGH:!RC4:!aNULL:!MD5:!kEDH";
ssl_prefer_server_ciphers on;

Конфигурация Apache

Добавьте эти строки в файл конфигурации виртуального хоста в секцию настроек защищённого соединения. Вы можете найти её по строчке <VirtualHost *:443>.

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
Header set X-XSS-Protection "1; mode=block"
Header always append X-Frame-Options SAMEORIGIN

SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLCipherSuite HIGH:!RC4:!aNULL:!MD5
SSLHonorCipherOrder On