نحوه به‌روزرسانی Cipher‌ها و پروتکل‌های TLS

تعاریف مقاله

• OpenSSL:
  یک کتابخانه نرم‌افزاری منبع باز برای پیاده‌سازی پروتکل‌های امنیتی SSL و TLS است که برای رمزگذاری ارتباطات بین کلاینت و سرور استفاده می‌شود.
• Cipher (رمزنگاری):
  الگوریتم خاصی که برای رمزگذاری داده‌ها استفاده می‌شود. در تنظیمات OpenSSL می‌توان رمزنگاری‌های خاص یا دسته‌بندی‌هایی از آن‌ها را فعال یا غیرفعال کرد.
• Protocol (پروتکل):
  روشی که سیستم برای استفاده از رمزنگاری‌ها به کار می‌برد. می‌توان پروتکل‌ها یا دسته‌ای از آن‌ها را فعال یا غیرفعال کرد.
• TLS (Transport Layer Security):
  پروتکل امنیتی که جایگزین SSL شده و ارتباط امن بین کلاینت و سرور را فراهم می‌کند. نسخه‌های رایج TLS شامل 1.2 و 1.3 هستند.
• POODLE Attack (CVE-2014-3566):
  نوعی حمله سایبری که ضعف‌های موجود در پروتکل SSLv3 را هدف قرار می‌دهد تا داده‌های بین کلاینت و سرور دستکاری شود.
• Exim و Dovecot:
  سرویس‌های ایمیل که برای ارسال و دریافت ایمیل‌ها استفاده می‌شوند.
• EasyApache 4:
  ابزاری در WHM برای مدیریت و پیکربندی آپاچی و نسخه‌های OpenSSL مربوط به آن.

مقدمه

بیشتر سرویس‌های مدیریت شده توسط cPanel و WHM از OpenSSL برای ایجاد ارتباطات امن بین نرم‌افزار کلاینت و سرور استفاده می‌کنند. این سند رابط‌هایی که در آن‌ها می‌توانید پروتکل‌ها و Cipher‌های OpenSSL را برای این سرویس‌ها تنظیم کنید، فهرست می‌کند.

درباره OpenSSL

نکته:
cPanel & WHM از نسخه OpenSSL ارائه شده توسط سیستم عامل استفاده می‌کند.

به‌طور پیش‌فرض، OpenSSL تنظیماتی دارد که بیشترین سازگاری را فراهم می‌کند ولی امنیت آن در اولویت دوم قرار دارد. OpenSSL دو تنظیم اصلی دارد: Cipherها و پروتکل‌ها.

• Cipher: الگوریتم رمزگذاری خاصی است که امکان فعال یا غیرفعال کردن آن به‌صورت فردی یا دسته‌ای وجود دارد.
• Protocol: روشی است که سیستم از Cipherها استفاده می‌کند. می‌توان پروتکل‌ها یا دسته‌ای از آن‌ها را فعال یا غیرفعال کرد.

بیشتر حملات علیه SSL، داده‌ها را در مسیر بین کلاینت و سرور دستکاری می‌کنند تا ضعف‌های Cipher خاص را هدف قرار دهند. مثال: حمله POODLE (CVE-2014-3566) که ضعف‌های پروتکل SSLv3 را هدف قرار می‌دهد.

تنظیمات Cipher

مهم:
cPanel & WHM از پروتکل TLSv1.2 و TLSv1.3 پشتیبانی می‌کند:

• از نسخه 86 به بعد، cPanel & WHM فقط TLSv1.2 یا بالاتر را پشتیبانی می‌کند و TLSv1.2 به‌طور پیش‌فرض فعال است.
• همه مرورگرها یا کلاینت‌ها TLSv1.3 را پشتیبانی نمی‌کنند. TLSv1.3 به OpenSSL نسخه 1.1.1 یا بالاتر نیاز دارد.

هشدار: اگر از Windows 7 یا MacOS 10.8 و نسخه‌های قدیمی‌تر استفاده می‌کنید، توصیه می‌کنیم Cipherها و پروتکل‌ها را برای سرویس‌های Exim و Dovecot تغییر ندهید. زیرا این سیستم‌ها ممکن است در اسکن PCI شکست بخورند.

• کلاینت‌های ایمیل آسیب‌پذیر:
  • Outlook 2007
  • Outlook 2010
  • MacMail

مکان پیش‌فرض تنظیمات

تنظیمات پیش‌فرض Cipher و پروتکل‌های SSL در رابط cPanel Web Services Configuration قرار دارد:
WHM » Home » Service Configuration » cPanel Web Services Configuration

پیکربندی Cipherها و پروتکل‌ها برای سرویس‌ها

توجه: برخی سرویس‌ها از رشته SSLv23 استفاده می‌کنند که معادل ALL در سایر سرویس‌هاست. مثال‌ها در ادامه ارائه شده است.

1. cPanel، WHM و Webmail

• سرویس cpsrvd
• مسیر: WHM » Home » Service Configuration » cPanel Web Services Configuration
• قالب پروتکل: SSLv23:!SSLv2:!SSLv3:!TLSv1:!TLSv1_1

2. Web Disk

• سرویس cpdavd
• مسیر: WHM » Home » Service Configuration » cPanel Web Disk Configuration
• قالب پروتکل: SSLv23:!SSLv2:!SSLv3:!TLSv1:!TLSv1_1

3. Dovecot

• سرویس ایمیل IMAP و POP3
• مسیر: WHM » Home » Service Configuration » Mailserver Configuration
• قالب پروتکل: رشته‌ای که پیش‌فرض همه پروتکل‌ها را فعال می‌کند، مثال: !SSLv2 !SSLv3

4. Apache

• سرویس وب httpd
• مسیر: WHM » Home » Service Configuration » Apache Configuration » Global Configuration
• قالب پروتکل: All -SSLv2 -SSLv3

نکته: اگر SSL یا نسخه OpenSSL که EasyApache 4 استفاده می‌کند از Cipher پشتیبانی نکند، خطا نمایش داده می‌شود.

5. Exim

• سرویس ایمیل Exim
• مسیر: WHM » Home » Service Configuration » Exim Configuration Manager » Basic Editor
• Cipherها: جعبه متن SSL/TLS Cipher Suite List
• پروتکل‌ها: جعبه متن Options for OpenSSL با تنظیمات خاص Exim، مثال: +no_sslv2 +no_sslv3

کیان پور