Directiva SSLCipherSuite – Suita de algoritmi de cifrare permisă în Apache HTTP Server

SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder off

Ce face Directiva SSLCipherSuite - Suita de algoritmi de cifrare permisă

Directiva SSLCipherSuite controlează algoritmii de criptare acceptați de Apache.

Se recomandă utilizarea suitelor ce oferă Perfect Forward Secrecy (PFS bazat pe ECDHE), criptare autentificată AEAD (AES-GCM sau CHACHA20-POLY1305) și eliminarea completă a algoritmilor vechi (RC4, 3DES, MD5, SHA1).

Pentru TLS 1.3, algoritmii sunt controlați separat prin directiva `SSLCipherSuite TLSv1.3`.

Exemple

Exemplul 1: Configurarea unei suite puternice de criptare cu suport PFS

Permite doar algoritmi moderni cu protecție Forward Secrecy.

SSLCipherSuite HIGH:!aNULL:!MD5:!3DES:!CAMELLIA:!RC4
SSLHonorCipherOrder off

Ieșire în terminal

Suitele nesigure sunt excluse complet din negociere.

Greșeli frecvente

• Includerea algoritmilor ‘NULL’ sau ‘EXP’ (export grade ciphers), lăsând serverul vulnerabil la decriptare.

Comenzi înrudite

• Directiva SSLProtocol - Selectarea versiunilor permise de protocoale TLS: Dezactivează protocoalele criptografice învechite și impune utilizarea exclusivă a standardelor sigure TLS 1.2 și TLS 1.3.
• Antetul HSTS (Strict-Transport-Security) - Forțarea conexiunilor HTTPS în browser: Instruiește browserul să comunice exclusiv prin HTTPS pentru o perioadă determinată de timp, prevenind atacurile de downgrade SSL stripping.