Transport Layer Security (TLS) - криптографический протокол, обеспечивающий безопасную передачу данных в сети. Включение TLS необходимо для защиты информации при обмене между клиентом и сервером.
Содержание
Основные версии TLS и их особенности
| Версия TLS | Год выпуска | Рекомендации по использованию |
| TLS 1.0 | 1999 | Не рекомендуется (устаревший) |
| TLS 1.1 | 2006 | Не рекомендуется (устаревший) |
| TLS 1.2 | 2008 | Рекомендуется (широко поддерживается) |
| TLS 1.3 | 2018 | Настоятельно рекомендуется (самый безопасный) |
Включение TLS на веб-сервере
Для Apache HTTP Server
- Откройте файл конфигурации (обычно httpd.conf или ssl.conf)
- Найдите или добавьте директиву SSLProtocol
- Укажите поддерживаемые версии:
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2 +TLSv1.3
- Перезапустите сервер:
systemctl restart apache2
Для Nginx
- Отредактируйте файл конфигурации nginx.conf
- Добавьте параметры SSL в блок server:
ssl_protocols TLSv1.2 TLSv1.3; ssl_prefer_server_ciphers on; ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:...';
- Проверьте конфигурацию:
nginx -t
- Перезагрузите Nginx:
systemctl reload nginx
Настройка TLS в почтовых серверах
| Сервер | Параметры TLS |
| Postfix | smtpd_tls_security_level=may smtpd_tls_protocols=!SSLv2,!SSLv3,!TLSv1,!TLSv1.1 |
| Exim | tls_require_ciphers = ALL:!EXPORT:!LOW:!MEDIUM:!SSLv2:!SSLv3:!TLSv1:!TLSv1.1 |
Проверка работы TLS
Инструменты для тестирования
- OpenSSL команда:
openssl s_client -connect example.com:443 -tls1_3
- Онлайн-сервисы: SSL Labs, ImmuniWeb
- Браузерные расширения: SSL/TLS Capabilities
Критерии правильной настройки
- Поддерживаются только TLS 1.2 и 1.3
- Используются современные шифры (AES-GCM, ChaCha20)
- Действующий сертификат от доверенного ЦС
- Включен режим строгой транспортной безопасности (HSTS)
Решение распространенных проблем
| Проблема | Решение |
| Старые клиенты не подключаются | Временно включить TLS 1.1 с ограниченным набором шифров |
| Ошибка "handshake failure" | Проверить совпадение поддерживаемых шифров |
| Низкая производительность | Включить аппаратное ускорение AES |
Правильная настройка TLS требует баланса между безопасностью и совместимостью. Рекомендуется использовать только современные версии протокола (TLS 1.2 и 1.3) с надежными алгоритмами шифрования, регулярно обновляя конфигурацию в соответствии с новыми угрозами.
