本次弱掃差不多所有的几器都出現以下的訊息
針對 中 進行說明跟修正
The HTTPS configuration has one or more security issues identified by the TLS risk assessment.
Risk score: 80/100
Letter grade: B
Findings:
Protocols & Connections: 3 issue(s) found
- [SYS-0000900] ALPN not negotiated (LOW)
- [SYS-0001000] Server does not support TLS_FALLBACK_SCSV (MEDIUM)
如果伺服器支援 TLS_FALLBACK_SCSV，並且發現客戶端當前使用的協議版本比它最高支援的版本低，就會回傳 inappropriate_fallback 錯誤，強制中斷連線
修正 ssl.conf 強制只使用 TLSv1.3
SSLProtocol -all +TLSv1.3
- [SYS-0001200] Server does not support post-quantum key exchange (MEDIUM)
server不支援處理末來來自量子電腦的攻擊 目前無法處理
Cipher Suites: 1 issue(s) found
- [SYS-0011600] Server honors client cipher preference order (MEDIUM)
設定後對client要求較低的算法不予理會 以 server為準
目前已強制只使用 TLSv1.3
Certificate & Chain: 2 issue(s) found
- [SYS-0021000] Certificate expires in less than 90 days (MEDIUM)
快到期會進行更換
- [SYS-0021200] Wildcard certificate in use (LOW)
Revocation & Transparency: 2 issue(s) found
- [SYS-0030200] OCSP stapling not present (MEDIUM)
OCSP（Online Certificate Status Protocol）是用來查詢 X.509 證書是否已被撤銷的協議。傳統做法是瀏覽器自己去 CA 的 OCSP 伺服器查詢
OCSP Stapling（又稱 TLS 證書狀態查詢擴展）改成由伺服器替用戶「提前」向 CA 取得 OCSP 回應，並在 TLS 握手時一起發給瀏覽器，瀏覽器只需驗證這份已簽名的回應，不需要再連 CA
在ssl.conf 設定
SSLUseStapling On
SSLStaplingCache shmcb:/var/run/apache2/stapling_cache(150000)
驗証
openssl s_client -connect yourdomain.com:443 -status -tlsextdebug < /dev/null 2>&1 | grep -i "OCSP response"
成功啟用 OCSP Stapling：回應中看到
OCSP response:
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
- [SYS-0030300] Must-Staple extension not present (LOW)
DNS Security: 2 issue(s) found
- [SYS-0050100] No CAA records (any CA can issue certificates) (MEDIUM)
如果域名 沒有 CAA 記錄：
CA 會認為「沒有特別限制」，任何 CA 都可以為你頒發憑證
如果域名 有 CAA 記錄：
CA 必須檢查自己是否被授權，只有被列在 CAA 中的 CA 才能頒發憑證 。
在DNS上設定 假設憑証是由 twca 發行
@ IN CAA 0 issue "twca.com.tw"
@ IN CAA 0 issuewild "twca.com.tw"
驗証
dig aaa.bbb.com CAA
- [SYS-0050200] No DANE/TLSA records (LOW)
Other: 1 issue(s) found
- [SYS-0060600] Certificate covers 2-5 SANs (minor attack surface disclosure) (LOW)
