SSL 인증서 설정에 문제 없는지 확인하기
https 사용을 위해서 사용되는 SSL 인증서의 설정에 대한것으로 잘 되었는지 확인해주는 사이트에 대한 안내 입니다.
기본적인 설정은 무료인증서로 많이 사용하는 letsencrypt 사용하게 되면 기본적인 설정을 사용하면 아래와 같이 높은 점수가 나오게 됩니다.
[root@pabburi ~]# cat /etc/letsencrypt/options-ssl-apache.conf
# This file contains important security parameters. If you modify this file
# manually, Certbot will be unable to automatically provide future security
# updates. Instead, Certbot will print and log an error message with a path to
# the up-to-date file that you will need to refer to when manually updating
# this file.
SSLEngine on
# Intermediate configuration, tweak to your needs
#SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
SSLProtocol all -SSLv2 -SSLv3
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder off
SSLOptions +StrictRequire
그리고 HSTS 등 몇가지 설정에대해서 추가적인 설정을 해주면 됩니다.
다면 네이버, 구글등 확인해 보면 왜? 그럴까 생각을 해볼 필요는 있습니다. 그분들이 설정을 할 줄 몰라서 그랬을까요? 그렇지 않을 것입니다.