V9.2.4 Server Communication Security

Requirement:

Verify that proper certification revocation, such as Online Certificate Status Protocol (OCSP) Stapling, is enabled and configured.

Explanation:

Требование направлено на повышение безопасности взаимодействия серверов путем проверки реализации надлежащих механизмов отзыва сертификатов, таких как Online Certificate Status Protocol (OCSP) Stapling. Отзыв сертификата - это процесс признания цифрового сертификата недействительным до истечения срока его действия, как правило, по причине компрометации, истечения срока действия или по другим причинам. OCSP Stapling - это метод, повышающий эффективность и безопасность проверки статуса отзыва сертификата.

Remediation:

Enabling Online Certificate Status Protocol (OCSP) Stapling in an AWS Load Balancer

• Войдите в консоль управления AWS Management Console.
• Перейдите к службе Amazon EC2.
• В панели навигации выберите "Load Balancers".
• Выберите балансировщик нагрузки, для которого необходимо включить OCSP Stapling.
• На вкладке "Listeners" выберите listener, использующий сертификат SSL/TLS.
• На экране "Edit Listener" прокрутите вниз до раздела "Advanced".
• Включите опцию "Enable OCSP stapling".
• Сохраните изменения.

1. Enabling OCSP Stapling in Nginx:

В конфигурационный файл Nginx (nginx.conf или файл конфигурации конкретного сайта) добавьте следующие строки в блок server:

# OCSP stapling

ssl_stapling on;

ssl_stapling_verify on;

Обязательно перезагрузите или перезапустите Nginx для применения изменений.

2. Enabling OCSP Stapling in Apache:

В конфигурационный файл Apache (обычно httpd.conf или файл конфигурации виртуального хоста) добавьте следующие строки в блок VirtualHost:

SSLUseStapling On

SSLStaplingResponderTimeout 5

SSLStaplingReturnResponderErrors off

После внесения изменений перезапустите или перезагрузите Apache для применения конфигурации.

3. Enabling OCSP Stapling in Apache Tomcat:

Включение OCSP Stapling в Apache Tomcat происходит несколько иначе, поскольку Tomcat не поддерживает OCSP stapling напрямую. Однако его можно настроить через виртуальную машину Java (JVM).

Добавьте следующую строку в catalina.sh, чтобы включить OCSP stapling:

CATALINA_OPTS="$CATALINA_OPTS -Djava.security.properties=/path/to/your/java.security.config"

jdk.tls.ocsp.enable=true

Создайте файл с именем java.security.config по указанному пути. Добавьте следующую строку для включения:

jdk.tls.ocsp.enable=true

Перезапустите Tomcat для применения изменений.

Не забудьте заменить /path/to/your/java.security.config на реальный путь к вашему файлу java.security.config.

4. Test and Verify:

После включения OCSP Stapling в любом из этих серверов необходимо протестировать конфигурацию https://www.ssllabs.com/ssltest/analyze.html?d=example.com

Additional: