mods-available/ssl.conf

   1 <IfModule mod_ssl.c>
   2 #
   3 # Pseudo Random Number Generator (PRNG):
   4 # Configure one or more sources to seed the PRNG of the SSL library.
   5 # The seed data should be of good random quality.
   6 # WARNING! On some platforms /dev/random blocks if not enough entropy
   7 # is available. This means you then cannot use the /dev/random device
   8 # because it would lead to very long connection times (as long as
   9 # it requires to make more entropy available). But usually those
  10 # platforms additionally provide a /dev/urandom device which doesn't
  11 # block. So, if available, use this one instead. Read the mod_ssl User
  12 # Manual for more details.
  13 #
  14 SSLRandomSeed startup builtin
  15 SSLRandomSeed startup file:/dev/urandom 512
  16 SSLRandomSeed connect builtin
  17 SSLRandomSeed connect file:/dev/urandom 512
  18
  19 ##
  20 ##  SSL Global Context
  21 ##
  22 ##  All SSL configuration in this context applies both to
  23 ##  the main server and all SSL-enabled virtual hosts.
  24 ##
  25
  26 #
  27 #   Some MIME-types for downloading Certificates and CRLs
  28 #
  29 AddType application/x-x509-ca-cert .crt
  30 AddType application/x-pkcs7-crl    .crl
  31
  32 #   Pass Phrase Dialog:
  33 #   Configure the pass phrase gathering process.
  34 #   The filtering dialog program (`builtin' is a internal
  35 #   terminal dialog) has to provide the pass phrase on stdout.
  36 SSLPassPhraseDialog  exec:/usr/share/apache2/ask-for-passphrase
  37
  38 #   Inter-Process Session Cache:
  39 #   Configure the SSL Session Cache: First the mechanism
  40 #   to use and second the expiring timeout (in seconds).
  41 #   (The mechanism dbm has known memory leaks and should not be used).
  42 #SSLSessionCache         dbm:${APACHE_RUN_DIR}/ssl_scache
  43 SSLSessionCache        shmcb:${APACHE_RUN_DIR}/ssl_scache(512000)
  44 SSLSessionCacheTimeout  300
  45
  46 #   Semaphore:
  47 #   Configure the path to the mutual exclusion semaphore the
  48 #   SSL engine uses internally for inter-process synchronization.
  49 #   (Disabled by default, the global Mutex directive consolidates by default
  50 #   this)
  51 #Mutex file:${APACHE_LOCK_DIR}/ssl_mutex ssl-cache
  52
  53 #   SSL Cipher Suite:
  54 #   List the ciphers that the client is permitted to negotiate.
  55 #   See the mod_ssl documentation for a complete list.
  56 #   enable only secure ciphers:
  57 #SSLCipherSuite HIGH:MEDIUM:!ADH:!MD5
  58
  59 # Intermediate compatibility from https://wiki.mozilla.org/Security/Server_Side_TLS#Intermediate_compatibility_.28default.29:
  60 SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA
  61 SSLHonorCipherOrder     on
  62 #   Use this instead if you want to allow cipher upgrades via SGC facility.
  63 #   In this case you also have to use something like
  64 #        SSLRequire %{SSL_CIPHER_USEKEYSIZE} >= 128
  65 #   see http://httpd.apache.org/docs/2.2/ssl/ssl_howto.html.en#upgradeenc
  66 #SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
  67
  68 # enable only secure protocols: SSLv3 and TLSv1, but not SSLv2
  69 SSLProtocol all -SSLv2 -SSLv3
  70
  71 # Compression is rarely supported and vulnerable, see CRIME attack
  72 SSLCompression Off
  73
  74 # Allow insecure renegotiation with clients which do not yet support the
  75 # secure renegotiation protocol. Default: Off
  76 #SSLInsecureRenegotiation on
  77
  78 # Whether to forbid non-SNI clients to access name based virtual hosts.
  79 # Default: Off
  80 #SSLStrictSNIVHostCheck On
  81
  82 </IfModule>