Mozilla SSL Configuration Generator

Best practice för SSL-konfiguration

Mozilla SSL Configuration Generator genererar konfigurationer för Linux-baserade serversystem som använder OpenSSL-biblioteket. Verktyget tar hänsyn till vilka protokoll och chiffer (ciphers) som stöds av den specifika OpenSSL- och serverversion som används.

Mozilla SSL Configuration Generator uppdateras löpande med de senaste rekommendationerna och erbjuder tre olika konfigurationsprofiler där du kan prioritera säkerhet, kompatibilitet eller en balans däremellan.

Här är en överblick över de inställningar som kan göras i verktyget.

I den första sektionen väljer du helt enkelt vilken serverplattform du använder.

Nästa sektion rör valet av profil:

• Modern: Ger högsta säkerhet men lägst kompatibilitet, då den exkluderar äldre webbläsare och enheter.

Rekommenderas om alla klienter är kända, till exempel för en webbplats som endast används internt.

• Intermediate: En balans mellan hög säkerhet och god kompatibilitet.

Rekommenderas generellt för servrar som nås av externa användare, till exempel en webbshop.

Den optimerar säkerheten men tillåter fortfarande anslutningar från något äldre klienter.

• Old: Låg säkerhet, högsta kompatibilitet.

Denna inställning bör endast användas om kompatibilitet med mycket gamla system är viktigare än säkerheten, då den tillåter protokoll och chiffer som numera anses osäkra.

Den sista sektionen används för att ange versioner för servern och OpenSSL så att de matchar din faktiska miljö.

Det är också här du kan aktivera eller inaktivera HTTP Strict Transport Security (HSTS):

• HSTS: (HTTP Strict Transport Security) är en header från servern som instruerar klienten att domänen endast får nås via HTTPS i framtiden.

Detta sparas av klienten under den angivna tiden (max-age). Var försiktig när du aktiverar detta eftersom det kan vara svårt att återställa om konfigurationen är felaktig.

Följ en noggrann guide, var försiktig och använd till en början ett lågt värde som 300 sekunder (5 minuter) i minst en vecka innan du gradvis ökar tiden.

Var extra uppmärksam vid användning av subdomäner och preload, såvida inte hela domänen redan körs via HTTPS.

• OCSP Stapling: Det är en tydlig fördel att aktivera OCSP-stapling.

Det innebär att servern hämtar certifikatets status med jämna mellanrum och levererar den direkt till klienten. På så sätt slipper varje enskild klient kontrollera statusen mot utfärdaren vid varje anslutning.

När alla inställningar är gjorda får du en färdig SSL-konfiguration som kan kopieras in i serverns konfigurationsfil.

Kom ihåg att alltid anpassa och kontrollera konfigurationen så att den passar din specifika servermiljö.