Comment puis-je désactiver TLS 1.0 ou TLS 1.1 dans mon instance Lightsail ?

Brève description

Toutes les versions du protocole SSL/TLS antérieures à TLS 1.2 ne sont plus mises à jour. Par conséquent, elles ne sont pas considérées comme étant fiables. Ces versions TLS sont toujours activées par défaut sur la plupart des serveurs Web. Modifiez la directive SSLProtocol dans les fichiers de configuration du serveur Web pour désactiver ces protocoles. La résolution suivante décrit comment désactiver ces versions TLS non mises à jour dans les instances Lightsail pour les serveurs Web Apache et NGINX.

Remarque : si vous utilisez l’équilibreur de charge Amazon Lightsail sur votre site Web, vous devez également désactiver les versions 1.0 et 1.1 du protocole TLS dans l’équilibreur de charge. Cependant, la désactivation des versions TLS dans l’équilibreur de charge Lightsail n’est pas prise en charge actuellement. Pour désactiver ces versions TLS et utiliser également l’équilibreur de charge Lightsail, utilisez un équilibreur de charge Amazon Application Load Balancer plutôt qu’un équilibreur de charge Lightsail.

Résolution

Remarque : les chemins de fichiers mentionnés dans cet article peuvent changer en fonction des facteurs suivants :

• L’instance est équipée d’une pile Bitnami qui fonctionne grâce à des paquets système Linux natifs (Approche A).
• L’instance est équipée d’une pile Bitnami et il s’agit d’une installation autonome (Approche B).

Si vous utilisez une instance Lightsail équipée d’une pile Bitnami, exécutez la commande suivante pour identifier votre type d’installation Bitnami :

Instances Lightsail équipées d’une pile Bitnami

Service Web Apache

1.    Ouvrez le fichier de configuration :

Pile Bitnami selon l’approche A

sudo vi /opt/bitnami/apache2/conf/bitnami/bitnami-ssl.conf

Pile Bitnami selon l’approche B

sudo vi /opt/bitnami/apache2/conf/bitnami/bitnami.conf

2.    Dans le fichier de configuration, modifiez la directive SSLProtocol pour prendre en compte la version TLS que vous souhaitez utiliser. Dans l’exemple suivant, les versions de TLS sont 1.2 et 1.3 :

SSLProtocol +TLSv1.2 +TLSv1.3

Remarque : utilisez TLSv1.3 uniquement si la version 1.1.1 d’OpenSSL est installée sur votre serveur. Vérifiez la version en exécutant la commande openssl version.

3.    Enregistrez le fichier. Appuyez sur esc, saisissez :wq! puis appuyez sur ENTRER.

4.    Redémarrez le service Apache :

sudo /opt/bitnami/ctlscript.sh restart apache

Service Web NGINX

1.    Ouvrez le fichier de configuration :

sudo vi /opt/bitnami/nginx/conf/nginx.conf

2.    Dans le fichier de configuration, modifiez la directive SSLProtocol pour prendre en compte la version TLS que vous souhaitez utiliser. Dans l’exemple suivant, les versions de TLS sont 1.2 et 1.3 :

ssl_protocols TLSv1.2 TLSv1.3;

Remarque : utilisez TLSv1.3 uniquement si la version 1.1.1 d’OpenSSL est installée sur votre serveur. Vérifiez la version à l’aide de la commande openssl version.

3.    Enregistrez le fichier. Appuyez sur esc, saisissez :wq! puis appuyez sur ENTRER.

4.    Redémarrez le service Apache :

sudo /opt/bitnami/ctlscript.sh restart nginx

Instances Lightsail sans pile Bitnami

Service Web Apache

1.    Ouvrez le fichier de configuration :
Pour les distributions Linux comme Amazon Linux 2 et CentOS

sudo vi /etc/httpd/conf.d/ssl.conf

Pour les distributions Linux comme Ubuntu et Debian

sudo vi /etc/apache2/mods-enabled/ssl.conf

2.    Dans le fichier de configuration, modifiez la directive SSLProtocol pour prendre en compte la version TLS que vous souhaitez utiliser. Dans l’exemple suivant, les versions de TLS sont 1.2 et 1.3.

SSLProtocol +TLSv1.2 +TLSv1.3

Remarque : utilisez TLSv1.3 uniquement si la version 1.1.1 d’OpenSSL est installée sur votre serveur. Vérifiez la version à l’aide de la commande openssl version.

3.    Enregistrez le fichier. Appuyez sur esc, saisissez :wq! puis appuyez sur ENTRER.

4.    Redémarrez le service Apache :

Pour les distributions Linux comme Amazon Linux 2 et CentOS

sudo systemctl restart httpd

Pour les distributions Linux comme Ubuntu et Debian

sudo systemctl restart apache2

Service Web NGINX

1.    Ouvrez le fichier de configuration :

sudo vi /etc/nginx/nginx.conf

2.    Dans le fichier de configuration, modifiez la directive SSLProtocol pour prendre en compte la version TLS que vous souhaitez utiliser. Dans l’exemple suivant, les versions de TLS sont 1.2 et 1.3.

ssl_protocols TLSv1.2 TLSv1.3;

Remarque : utilisez TLSv1.3 uniquement si la version 1.1.1 d’OpenSSL est installée sur votre serveur. Vérifiez la version à l’aide de la commande openssl version.

3.    Enregistrez le fichier. Appuyez sur esc, saisissez :wq! puis appuyez sur ENTRER.

4.    Redémarrez le service Apache :

sudo systemctl restart nginx