¿Cómo puedo desactivar TLS 1.0 y 1.1 en apache?

¿Alguien sabe por qué no puedo desactivar tls 1.0 y tls1.1 actualizando la configuración a esto?

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 

Después de hacer esto, recargo apache, hago un escaneo SSL usando ssllabs o comodo ssl tool, y todavía dice que los tls 1.1 y 1.0 son compatibles. Me gustaría eliminar estos?

Cuando tiene múltiples TLS VirtualHosts y utiliza la Indicación de nombre del servidor (SNI), es una sintaxis permitida tener una SSLProtocol directiva para cada VirtualHost, pero a menos que tenga IP VirtualHosts en la práctica, la configuración desde la primera aparición de la SSLProtocoldirectiva se usa para todo el servidor y / o todos los VirtualHosts basados ​​en nombres que admiten TLS ¹ .

Por lo tanto, revise su principal httpd.conf(y todos los fragmentos incluidos de, por ejemplo, conf.d/*.confe incluye similares) para ver más casos de la SSLProtocoldirectiva.

Su sintaxis es correcta, aunque estoy de acuerdo con la respuesta de ezra-s de que, cuando expande la alltaquigrafía, puede mejorar ligeramente:

 SSLProtocol +SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2 -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 

simplemente usando:

 SSLProtocol TLSv1.2

que ha especificado es suficiente, no debería mostrar ningún otro protocolo. Recuerde que SSLLABS almacena en caché las pruebas recientes. Aunque saber que no hay otros protocolos que lo definan como lo hizo es algo complicado a propósito.

En cualquier caso, puede usar eso o simplemente:

SSLProtocol TLSv1.2

También estaba luchando con este problema, modificar las configuraciones con la SSLProtocoldirectiva no funcionaba. Terminé agregando lo siguiente a mi configuración de host virtual:

SSLOpenSSLConfCmd Protocol "-ALL, TLSv1.2"

Que funcionó perfectamente. Puede leer más sobre la SSLOpenSSLConfCmddirectiva aquí .

Deshabilite la versión TLS1.0 en Apache.

Si tiene múltiples alojamientos virtuales, entonces debe actualizar el archivo de todas las configuraciones, de lo contrario, ssl.conf es suficiente.

Para verificar la versión de soporte de TSL:

# nmap --script ssl-enum-ciphers -p 443 192.168.11.10 | grep TLSv
|   TLSv1.0:
|   TLSv1.1:
|   TLSv1.2:

Modifique el archivo de configuración de Apache, vi /etc/httpd/conf.d/web.confelimine todos los TLS y permita solo TLS1.2.

SSLProtocol TLSv1.2

Validar después de la modificación.

# grep SSLProtocol /etc/httpd/conf.d/web.conf
SSLProtocol TLSv1.2

# nmap --script ssl-enum-ciphers -p 443 192.168.11.10 | grep TLSv
|   TLSv1.2:
# service httpd restart

Debe reiniciar el servicio Apache con el siguiente comando para reflejar los cambios.

sudo service apache2 restart

El siguiente código funcionará bien para mí, puede consultar este artículo para obtener más detalles, https://karthikekblog.com/how-to-disable-enable-ssl-tls-protocols-in-ubentu-apache-linux-server/

<VirtualHost *:443>
ServerName www.yourdomain.com
DocumentRoot /var/www/html
SSLEngine on
SSLProtocol +TLSv1.2
SSLCertificateFile /etc/apache2/certificates/certificate.crt
SSLCertificateKeyFile /etc/apache2/certificates/certificate.key 
SSLCertificateChainFile /etc/apache2/certificates/intermediate.crt
</VirtualHost>