lighttpd config changes werden scheinbar nicht angenommen

[bilbo_b]

Hallo zusammen,

ich hab mir gestern ein SSL Zertifikat con StartSSL installiert. Funktioniert soweit scheinbar ganz gut. Einziges Problem was ich jetzt noch hab ist TLS 1.2. Dies würde ich gerne aktivieren und hab dazu folgendes im Bereich "Erweitert" eingetragen:

ssl.use-sslv3 = "disable"
ssl.use-compression = "disable"
ssl.honor-cipher-order = "enable"
ssl.cipher-list = "ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA"

Allerdings scheint das ignoriert zu werden. SSL V3 ist noch immer aktiv, TLS 1.2 nicht. Der Server startet aber ohne Probleme. Andere Configeinstellungen in diesem Bereich werden verarbeitet. Hat jemand eine Idee?

 

[er13]

Deine .config und die verwendete Freetz-Version wären hilfreich. Ich gehe zunächst mal davon aus, dass Du den trunk verwendest. Laut OpenSSL Release Notes wird TLS 1.2 erst seit OpenSSL 1.0.1 unterstützt (d.h. Du musst OpenSSL 1.0.1 und nicht 0.9.8 verwenden). Als zweites hast Du lauter "Elliptic Curves"-Ciphers in Deiner lighttpd Konfiguration. Dieser werden in freetz erst seit kurzem (s. r11957) unterstützt. Mit anderen Worten die erste Voraussetzung, damit es geht, sind die folgenden Einträge in Deiner Freetz .config

 FREETZ_OPENSSL_VERSION_1=y
 FREETZ_LIB_libcrypto_WITH_EC=y

Sind diese gesetzt?

 

[bilbo_b]

OK. Danke für die Tipps. Aber wozu brauch ich OpenSSL? Ich kann doch den Key auch auf einem anderen Rechner erstellen. Oder gibts da Libs, die unbedingt benötigt werden? Ich bastel mal ein wenig und melde mich dann wieder.

 

[er13]

Aber wozu brauch ich OpenSSL? Oder gibts da Libs, die unbedingt benötigt werden?

Welche Komponente ist denn Deiner Meinung nach für die Verschlüsselung zur Laufzeit zuständig? Es ist die OpenSSL-Lib und diese muss wie gesagt in der richtigen Version vorliegen und mit den richtigen Optionen übersetzt werden. Mit dem Erzeugen des "Keys" hat es zunächst mal nichts zu tun.

 

[bilbo_b]

Das ich da Libs brauch ist mir schon klar Ich hatte angenommen das die von dir genannte Option OpenSSL generell mit aufnimmt. Es compiliert grad. Dauert sicher noch einige Zeit. Immerhin bin ich nun schon einen Schritt weiter dank deiner Hinweise.

 

[bilbo_b]

Danke. Jetzt hab ich ein A+ beim SSL Check So gefällt mir das. Im neuen Image habe ich lediglich deine zwei config Changes eingetragen und die Ciphers im lighttpd noch mal überarbeitet.