From: Vincent Deffontaines Date: Sat, 20 Nov 2010 15:18:45 +0000 (+0000) Subject: Updated the .fr ssl howto so it matches r1035435 changes X-Git-Tag: 2.3.9~27 X-Git-Url: http://git.ipfire.org/cgi-bin/gitweb.cgi?a=commitdiff_plain;h=e0f84b1a244b9313ae9638f796d83ce9a98be02d;p=thirdparty%2Fapache%2Fhttpd.git Updated the .fr ssl howto so it matches r1035435 changes git-svn-id: https://svn.apache.org/repos/asf/httpd/httpd/trunk@1037241 13f79535-47bb-0310-9956-ffa450edef68 --- diff --git a/docs/manual/ssl/ssl_howto.html.fr b/docs/manual/ssl/ssl_howto.html.fr index ace901931ca..147de2976a3 100644 --- a/docs/manual/ssl/ssl_howto.html.fr +++ b/docs/manual/ssl/ssl_howto.html.fr @@ -42,6 +42,9 @@ interagit avec les autres syst
@@ -69,8 +72,6 @@ suivantes :

de haut niveau -

Comment créer un véritable serveur SSLv2 seulement ?

- -

Les directives suivantes créent un serveur SSL qui ne communique que - selon le protocole SSLv2 et ses modes de chiffrement.

- -

httpd.conf

- SSLProtocol -all +SSLv2
- SSLCipherSuite SSLv2:+HIGH:+MEDIUM:+LOW:+EXP
-

-

Comment créer un serveur SSL qui n'accepte que le chiffrement fort ?

@@ -98,51 +89,27 @@ que le chiffrement fort ?

Les directives suivantes ne permettent que les chiffrements de plus haut niveau :

httpd.conf

- SSLProtocol all
- SSLCipherSuite HIGH:MEDIUM
+ SSLProtocol all -SSLv3
+ SSLCipherSuite HIGH:!ADH:!EXP:!MD5:!NULL

-

Comment créer un serveur SSL qui n'accepte que le -chiffrement fort, mais permet aux navigateurs importés des USA -d'évoluer vers un chiffrement plus fort ?

- -

Cette fonctionnalité se nomme Cryptographie Transférée par Serveur - (Server Gated Cryptography - SGC) et nécessite un certificat de serveur - à identifiant global, signé par un certificat de CA spécial de chez - Verisign. Ceci permet d'activer le chiffrement fort dans les versions des - navigateurs importés des US, qui n'en avaient habituellement pas la - possibilité (à cause des restrictions à l'exportation imposées par les - US).

-

Quand un navigateur se connecte avec un mode de chiffrement importé - des US, le serveur présente son certificat à identifiant global. le - navigateur le vérifie, et peut ensuite faire évoluer sa suite de - chiffrement avant que la communication HTTP ne se mette en place. Le - problème consiste à permettre au navigateur de se mettre à jour de cette - façon, mais de nécessiter encore un chiffrement fort. En d'autres termes, - nous voulons que les navigateurs démarrent une connexion soit avec - chiffrement fort, soit avec une version export du chiffrement mais que - dans ce dernier cas, le navigateur fasse évoluer sa suite de chiffrement - vers un chiffrement fort avant de démarrer la communication HTTP.

-

Il est possible de parvenir à ceci de cette façon:

+ +

Avec la configuration qui suit, vous pouvez activer deux méthodes de chiffrement relativement sécurisées, et rapides :

+

httpd.conf

- # autorise tout mode de chiffrement pour l'échange de données - initial,
- # les navigateurs non US peuvent ainsi se mettre à jour - via la fonctionnalité SGC
- SSLCipherSuite ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
+ SSLProtocol all -SSLv3
+ SSLCipherSuite RC4-SHA:AES128-SHA:HIGH:!ADH:!EXP:!MD5:!NULL
+ SSLHonorCipherOrder on
- <Directory /usr/local/apache2/htdocs>
- # et enfin interdit l'accès à tous les navigateurs qui n'ont pas fait - évoluer leur suite de chiffrement
- SSLRequire %{SSL_CIPHER_USEKEYSIZE} >= 128
- </Directory>

- - -

Comment créer un serveur qui accepte tous les types de +

Ceci correspond largement à la valeur par défaut de la directive SSLCipherSuite, + et représente la pratique à conseiller.

+
top
+
+

Comment créer un serveur qui accepte tous les types de chiffrement en général, mais exige un chiffrement fort pour pouvoir -accéder à une URL particulière ?

+accéder à une URL particulière ?

Dans ce cas bien évidemment, une directive SSLCipherSuite au niveau du serveur principal qui restreint le choix des suites de chiffrement aux versions les plus @@ -159,10 +126,9 @@ acc <Location /strong/area>
# sauf pour https://hostname/strong/area/ et ses sous-répertoires
# qui exigent des chiffrements forts
- SSLCipherSuite HIGH:MEDIUM
+ SSLCipherSuite HIGH:!ADH:!EXP:!MD5:!NULL
</Location>

-
top

Authentification du client et contrôle d'accès

diff --git a/docs/manual/ssl/ssl_howto.xml.fr b/docs/manual/ssl/ssl_howto.xml.fr index f34edcd5340..9ca27f4e884 100644 --- a/docs/manual/ssl/ssl_howto.xml.fr +++ b/docs/manual/ssl/ssl_howto.xml.fr @@ -127,7 +127,6 @@ accéder à une URL particulière ? </Location> -