Отказ от SSLv2 и SSLv3 с уведомлением пользователей - История изменений

Bas: /* Настройка nginx */

2015-07-03T14:57:32Z

Настройка nginx

← Предыдущая версия		Версия от 14:57, 3 июля 2015
Строка 131:		Строка 131:
	</source>		</source>
	После этого мы сначала перезапускаем Apache, чтобы освободить 80-ый порт, а затем nginx.		После этого мы сначала перезапускаем Apache, чтобы освободить 80-ый порт, а затем nginx.

			'''Не забудьте создать файл sslv3.html c необходимым текстом для пользователей!'''
	<br />		<br />
	<br />		<br />

Bas: /* Заключение */

2015-07-03T14:56:18Z

Заключение

← Предыдущая версия		Версия от 14:56, 3 июля 2015
Строка 135:		Строка 135:

	=====Заключение=====		=====Заключение=====
			Таким образом мы даём нашим пользователям возможность подключаться к сайту, но перекидываем на специальную страницу с необходимым текстом. Это лучше, чем просто ошибка браузера :) Дополнительная неделя или две уже не так критичны, после полугода работы с уязвимой конфигурацией. После этого мы отключаем nginx и настраиваем Apache на работу только с современными протоколами и шифрами.<br />
			<br />
			Если у вас большая посещаемость ресурса, то есть смысл включать отлов устаревших шифров (например, RC4) и так же перекидывать на страницу-памятку.<br />
			<br />
			В моём случае сервер не даст работать с сайтом, пока пользователь не подключиться с обновлённым ПО, но при желании вы можете настроить показ страницы только 1 раз.
			<br />

	~~<br />~~
	=====Ссылки=====		=====Ссылки=====
	# [https://wiki.mozilla.org/Security/Server_Side_TLS Security/Server Side TLS]		# [https://wiki.mozilla.org/Security/Server_Side_TLS Security/Server Side TLS]

Bas: /* Анализ */

2015-07-03T14:49:29Z

Анализ

← Предыдущая версия		Версия от 14:49, 3 июля 2015
Строка 8:		Строка 8:
	<br />		<br />
	=====Анализ=====		=====Анализ=====
	Была определена дата, когда устаревшие протоколы будут отключены. Полетели e-mail рассылки и уведомления через систему сообщений о необходимости обновления ПО пользователям сервисов. Мы прекрасно понимали, что найдутся те, кто не увидят рассылок или попросту проигнорируют их. Для таких клиентов было решено поставить страницу-заглушку, которая бы содержала сообщение "что именно случилось", "что необходимо сделать" и "куда можно обратиться за подробностями". Данная страница будет включена при наступлении времени X. В течение 2 недель мы ловим нерасторопных пользователей и уже после этого окончательно выключаем устаревшие протоколы.<br />		Была определена дата, когда устаревшие протоколы будут отключены. Полетели e-mail рассылки и уведомления через систему сообщений о необходимости обновления ПО пользователям сервисов. Мы прекрасно понимали, что найдутся те, кто не увидят рассылок или попросту проигнорируют их. Для таких клиентов было решено поставить страницу-заглушку, которая бы содержала сообщение "что именно случилось", "что необходимо сделать" и "куда можно обратиться за подробностями". Данная страница будет включена при наступлении времени X. В течение 2 недель мы ловим нерасторопных пользователей и уже после этого окончательно выключаем устаревшие протоколы и разбираем схему.<br />
	<br />		<br />
	Перед тем как приступать к такого рода изменениям необходимо было оценить масштаб бедствия и подсчитать количество пользователей, использующих устаревшие браузеры. В этом отлично помогают сервисы [https://metrika.yandex.ru Яндекс.Метрика] и [https://www.google.com/analytics/ Google Analytics]. Если же вы не использовали подобные инструменты, то на помощь придут анализаторы логов [https://ru.wikipedia.org/wiki/AWStats AWStats] или [https://ru.wikipedia.org/wiki/Webalizer Webalizer]. В моём случае один сайт был с аналитикой, а другой был закрытый и там данные собирались с помощью [https://ru.wikipedia.org/wiki/AWStats AWStats].<br />		Перед тем как приступать к такого рода изменениям необходимо было оценить масштаб бедствия и подсчитать количество пользователей, использующих устаревшие браузеры. В этом отлично помогают сервисы [https://metrika.yandex.ru Яндекс.Метрика] и [https://www.google.com/analytics/ Google Analytics]. Если же вы не использовали подобные инструменты, то на помощь придут анализаторы логов [https://ru.wikipedia.org/wiki/AWStats AWStats] или [https://ru.wikipedia.org/wiki/Webalizer Webalizer]. В моём случае один сайт был с аналитикой, а другой был закрытый и там данные собирались с помощью [https://ru.wikipedia.org/wiki/AWStats AWStats].<br />

Bas: /* Настройка nginx */

2015-07-03T14:48:46Z

Настройка nginx

← Предыдущая версия		Версия от 14:48, 3 июля 2015
Строка 96:		Строка 96:
	}		}
	</source>		</source>
	~~<br />~~
	Второй вариант конфига, который может пригодится, в случае отслеживания устаревших шифров. Здесь мы не используем location, а используем связку условного оператора if и переменной:		Второй вариант конфига, который может пригодится, в случае отслеживания устаревших шифров. Здесь мы не используем location, а используем связку условного оператора if и переменной:
	<source lang="text" line>		<source lang="text" line>
Строка 131:		Строка 130:
	}		}
	</source>		</source>

	После этого мы сначала перезапускаем Apache, чтобы освободить 80-ый порт, а затем nginx.		После этого мы сначала перезапускаем Apache, чтобы освободить 80-ый порт, а затем nginx.
			<br />
	<br />		<br />

Bas: /* Настройка nginx */

2015-07-03T14:48:26Z

Настройка nginx

← Предыдущая версия		Версия от 14:48, 3 июля 2015
Строка 131:		Строка 131:
	}		}
	</source>		</source>

			После этого мы сначала перезапускаем Apache, чтобы освободить 80-ый порт, а затем nginx.
	<br />		<br />

Bas: /* Настройка nginx */

2015-07-03T14:47:24Z

Настройка nginx

← Предыдущая версия		Версия от 14:47, 3 июля 2015
Строка 96:		Строка 96:
	}		}
	</source>		</source>
			<br />
	Второй вариант конфига, который может пригодится, в случае отслеживания устаревших шифров. Здесь мы не используем location, а используем связку условного оператора if и переменной:		Второй вариант конфига, который может пригодится, в случае отслеживания устаревших шифров. Здесь мы не используем location, а используем связку условного оператора if и переменной:
	<source lang="text" line>		<source lang="text" line>

Bas: /* Настройка nginx */

2015-07-03T14:46:37Z

Настройка nginx

← Предыдущая версия		Версия от 14:46, 3 июля 2015
Строка 97:		Строка 97:
	</source>		</source>
	Второй вариант конфига, который может пригодится, в случае отслеживания устаревших шифров. Здесь мы не используем location, а используем связку условного оператора if и переменной:		Второй вариант конфига, который может пригодится, в случае отслеживания устаревших шифров. Здесь мы не используем location, а используем связку условного оператора if и переменной:
			<source lang="text" line>
	server {		server {
	listen 443 ssl;		listen 443 ssl;

Bas: /* Настройка nginx */

2015-07-03T14:46:13Z

Настройка nginx

@@ Строка 96: / Строка 96: @@
+}
 </source>
 <br />

Bas: /* Настройка nginx */

2015-07-03T14:39:42Z

Настройка nginx

← Предыдущая версия		Версия от 14:39, 3 июля 2015
Строка 62:		Строка 62:

	=====Настройка nginx=====		=====Настройка nginx=====
	Виртуальный хост для нашего сайта. Обратите внимание на то, что мы забираем на себя SSL-сертификаты Apache. Переменная <code>$ssl_protocol</code> возвращает протокол установленного SSL-соединения. Ещё нас может заинтересовать переменная <code>$ssl_cipher</code>, которая возвращает строку используемых шифров для установленного SSL-соединения, но в данной статье мы её не рассматриваем. Опция <code>proxy_redirect</code>(18 строка) необходима, т. к. в Apache для сайта используются редиректы с помощью <code>mod_rewrite</code>.		Виртуальный хост для нашего сайта. Обратите внимание на то, что мы забираем на себя SSL-сертификаты Apache. Переменная <code>$ssl_protocol</code> возвращает протокол установленного SSL-соединения. Ещё нас может заинтересовать переменная <code>$ssl_cipher</code>, которая возвращает строку используемых шифров для установленного SSL-соединения, но в данной статье мы её не рассматриваем. Опция <code>proxy_redirect</code> (18 строка) необходима, т. к. в Apache для сайта используются редиректы с помощью <code>mod_rewrite</code>.
	<source lang="text" line>		<source lang="text" line>
	server {		server {
Строка 98:		Строка 98:

	<br />		<br />

	=====Заключение=====		=====Заключение=====

Bas: /* Анализ */

2015-07-03T14:38:52Z

Анализ

← Предыдущая версия		Версия от 14:38, 3 июля 2015
Строка 8:		Строка 8:
	<br />		<br />
	=====Анализ=====		=====Анализ=====
	Была определена дата, когда устаревшие протоколы будут отключены. Полетели e-mail рассылки и уведомления через систему сообщений о необходимости обновления ПО пользователям сервисов. Мы прекрасно понимали, что найдутся те, кто не увидят рассылок или попросту проигнорируют их. Для таких клиентов было решено поставить страницу-заглушку, которая бы содержала сообщение "что именно случилось", "что необходимо сделать" и "куда можно обратиться за подробностями".<br />		Была определена дата, когда устаревшие протоколы будут отключены. Полетели e-mail рассылки и уведомления через систему сообщений о необходимости обновления ПО пользователям сервисов. Мы прекрасно понимали, что найдутся те, кто не увидят рассылок или попросту проигнорируют их. Для таких клиентов было решено поставить страницу-заглушку, которая бы содержала сообщение "что именно случилось", "что необходимо сделать" и "куда можно обратиться за подробностями". Данная страница будет включена при наступлении времени X. В течение 2 недель мы ловим нерасторопных пользователей и уже после этого окончательно выключаем устаревшие протоколы.<br />
	<br />		<br />
	Перед тем как приступать к такого рода изменениям необходимо было оценить масштаб бедствия и подсчитать количество пользователей, использующих устаревшие браузеры. В этом отлично помогают сервисы [https://metrika.yandex.ru Яндекс.Метрика] и [https://www.google.com/analytics/ Google Analytics]. Если же вы не использовали подобные инструменты, то на помощь придут анализаторы логов [https://ru.wikipedia.org/wiki/AWStats AWStats] или [https://ru.wikipedia.org/wiki/Webalizer Webalizer]. В моём случае один сайт был с аналитикой, а другой был закрытый и там данные собирались с помощью [https://ru.wikipedia.org/wiki/AWStats AWStats].<br />		Перед тем как приступать к такого рода изменениям необходимо было оценить масштаб бедствия и подсчитать количество пользователей, использующих устаревшие браузеры. В этом отлично помогают сервисы [https://metrika.yandex.ru Яндекс.Метрика] и [https://www.google.com/analytics/ Google Analytics]. Если же вы не использовали подобные инструменты, то на помощь придут анализаторы логов [https://ru.wikipedia.org/wiki/AWStats AWStats] или [https://ru.wikipedia.org/wiki/Webalizer Webalizer]. В моём случае один сайт был с аналитикой, а другой был закрытый и там данные собирались с помощью [https://ru.wikipedia.org/wiki/AWStats AWStats].<br />