SSL sertifikası eski şifreleme kullanıyor
sec_cert_weak_keyKısa cevap
Sertifikanız SHA-1 ya da MD5 ile imzalanmış veya açık anahtarı çok kısa (2048 bitten kısa RSA, 224 bitten kısa eliptik eğri). Genel sertifika otoritelerinin böyle sertifika vermesi yıllardır yasak; bu yüzden bu sertifika genellikle elle üretilmiş, kurum içi ya da çok eskidir. Sertifikayı ECDSA P-256 ya da 2048 bit RSA anahtar ve SHA-256 imzayla yeniden oluşturun; güncel her otorite bunu varsayılan olarak yapar.
Neden önemli
Kısa RSA anahtarları ve SHA-1 ya da MD5 imzaları uygulanabilir saldırıların erişimindedir: SHA-1 çakışmaları herkese açık olarak gösterildi, MD5 çakışmaları ise bir zamanlar çalışan sahte bir otorite sertifikası üretmekte kullanıldı. Sertifikanızın dayandığı şeyi taklit edebilen biri sitenizin kimliğine bürünebilir. Uygulamada güncel tarayıcılar SHA-1 sunucu sertifikalarını zaten reddeder; bu bulgu çoğu zaman bazı ziyaretçilerin hiç bağlanamadığı anlamına gelir. Sıralamaya doğrudan etkisi yoktur, ama tarayıcının reddettiği bir sertifika geçersiz sertifikayla aynı sonuçları doğurur.
Glimana bunu nasıl tespit eder
Glimana sunucunuzun sunduğu sertifikanın (ara sertifikaların değil, yaprak sertifikanın) imza algoritmasını ve açık anahtarını okur. İmza algoritması SHA-1 ya da MD5 kullanıyorsa, anahtar 2048 bitten kısa RSA ise ya da 224 bitten kısa eliptik eğri anahtarıysa kontrol yüksek önemle başarısız olur. 2048 bit ve üstü RSA, ECDSA P-256 ya da P-384 ve SHA-256 veya daha güçlü imzalar geçer.
Nasıl düzeltilir
Dikkat
Yeniden oluştururken yeni bir özel anahtar üretin; eski kısa anahtarı yeniden kullanmayın. Yeni sertifikayı kurduktan sonra web sunucusunu yeniden yükleyin ya da başlatın; Apache ve Nginx o ana kadar eski sertifikayı bellekte tutar. ECDSA'ya geçiyorsanız desteklemek zorunda olduğunuz çok eski istemcilerin (eski terminaller ya da entegrasyonlar) bunu kaldırabildiğini doğrulayın; aksi halde güvenli varsayılan RSA 2048'dir.
- Glimana'da bulguyu bulun. Güvenlik sayfasını açın; bu kontrol Sertifika ve HTTPS grubunda, son taramanın kanıtı başlığının altında. Aynı sorun Sorunlar › SSL sertifikası eski şifreleme kullanıyor altında da listelenir.
-
Düzeltmeyi platformunuzda uygulayın.
Certbot 2.0 ve sonrası varsayılan olarak ECDSA anahtar üretir. Mevcut bir sertifikayı değiştirmek için:
sudo certbot renew --cert-name example.com --key-type ecdsa --force-renewal(ya da--key-type rsa --rsa-key-size 2048). Anahtar türü değişirken Certbot onay olarak--key-typeile birlikte--cert-nameister. Ardından web sunucusunu yeniden yükleyin.cPanel AutoSSL ve Plesk SSL It!, RSA 2048 ya da ECDSA anahtarlı ve SHA-256 imzalı sertifika verir. cPanel'de zayıf sertifikayı SSL/TLS › Manage SSL sites altında kaldırın ve AutoSSL'in yenisini vermesini sağlayın; Plesk'te SSL It! ile yeniden oluşturun. Ticari bir otoriteden alınmış sertifikada panelde 2048 bit ya da daha uzun anahtarlı yeni bir CSR üretip yeniden düzenleme (reissue) isteyin; çoğu otorite bunu ücretsiz yapar.
Yeni ECDSA P-256 anahtar ve CSR:
openssl ecparam -genkey -name prime256v1 -out example.com.key, ardındanopenssl req -new -key example.com.key -out example.com.csr -subj "/CN=example.com". RSA için:openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr -subj "/CN=example.com". CSR'yi otoritenize gönderin ve dönen sertifikayı kurun. Herhangi bir sertifikayı şöyle inceleyebilirsiniz:openssl x509 -in cert.pem -noout -text | grep -E "Signature Algorithm|Public-Key". - Glimana'da kontrol edin. Güvenlik sayfasında Yeniden tara düğmesine basın (saatte en çok iki tarama) ya da pazar günkü haftalık taramayı bekleyin; kontrol geçince sorun kapanır.
Düzeltme nasıl doğrulanır
Güvenlik sayfasında Yeniden tara düğmesine basın (ya da pazar günkü haftalık taramayı bekleyin); kontrol geçtiğinde sorun kapanır.