From 024b0f4e046b8e751ad3ee34cfb25097ac966a48 Mon Sep 17 00:00:00 2001 From: Lucien Gentis Date: Sat, 16 Nov 2013 15:09:46 +0000 Subject: [PATCH] Updates. git-svn-id: https://svn.apache.org/repos/asf/httpd/httpd/branches/2.4.x@1542523 13f79535-47bb-0310-9956-ffa450edef68 --- docs/manual/mod/mod_authn_socache.xml.fr | 4 +- docs/manual/mod/mod_macro.xml.fr | 2 +- docs/manual/mod/mod_ssl.xml.fr | 48 ++++++++++++++++++++---- docs/manual/ssl/ssl_faq.xml.fr | 46 ++++++++++++++++++++++- 4 files changed, 90 insertions(+), 10 deletions(-) diff --git a/docs/manual/mod/mod_authn_socache.xml.fr b/docs/manual/mod/mod_authn_socache.xml.fr index c40939b989..59a13152fb 100644 --- a/docs/manual/mod/mod_authn_socache.xml.fr +++ b/docs/manual/mod/mod_authn_socache.xml.fr @@ -1,7 +1,7 @@ - + @@ -132,6 +132,8 @@ utiliser AuthnCacheSOCache nom-fournisseur[:arguments-fournisseur] server config None +Les paramètres optionnels du fournisseur sont disponibles +depuis la version 2.4.7 du serveur HTTP Apache

Cette définition s'applique à l'ensemble du serveur et permet de diff --git a/docs/manual/mod/mod_macro.xml.fr b/docs/manual/mod/mod_macro.xml.fr index 81a17fef7e..6ceee7101d 100644 --- a/docs/manual/mod/mod_macro.xml.fr +++ b/docs/manual/mod/mod_macro.xml.fr @@ -1,7 +1,7 @@ - + diff --git a/docs/manual/mod/mod_ssl.xml.fr b/docs/manual/mod/mod_ssl.xml.fr index f4dd0eb23f..6d9fc44fc1 100644 --- a/docs/manual/mod/mod_ssl.xml.fr +++ b/docs/manual/mod/mod_ssl.xml.fr @@ -1,7 +1,7 @@ - + @@ -868,6 +868,17 @@ plus tard)

  • !: supprime définitivement l'algorithme de la liste (ne peut plus y être rajouté plus tard)
    • + + +Les algorithmes <code>aNULL</code>, <code>eNULL</code> et +<code>EXP</code> sont toujours désactivés +

    Depuis la version 2.4.7, les +algorithmes de type null ou destinés à l'exportation sont toujours +désactivés car mod_ssl fait +obligatoirement précéder toute chaîne de suite d'algorithmes par +!aNULL:!eNULL:!EXP: à l'initialisation.

    +     +

    Pour vous simplifier la vie, vous pouvez utiliser la commande ``openssl ciphers -v'' qui vous fournit un moyen simple de créer la chaîne algorithmes avec succès. La chaîne @@ -946,12 +957,35 @@ PEM

    Cette directive permet de définir le fichier contenant le certificat -X.509 du serveur codé en PEM, et par la même occasion sa clé privée RSA -ou DSA (contenue dans le même fichier). Si la clé privée est chiffrée, -le mot de passe sera demandé au démarrage. Cette directive peut être -utilisée trois fois (pour référencer des noms de fichiers différents), -lorsque des certificats de serveur RSA, DSA et ECC sont utilisés en -parallèle.

    +X.509 du serveur codé au format PEM, éventuellement sa +clé privée, et enfin (depuis la version 2.4.7) les +paramètres DH et/ou un nom EC curve pour les clés +éphémères (générés respectivement par openssl dhparam et +openssl ecparam). Si la clé privée est chiffrée, +l'ouverture d'une boîte de dialogue pour entrer le mot de passe est +forcée au démarrage du serveur.

    +

    Cette directive peut être utilisée jusqu'à trois fois (pour +référencer différents fichiers) lorsque des certificats de serveur basés +sur RSA, DSA et ECC sont utilisés en parallèle. Notez que les paramètres +DH et ECDH ne sont lus que par la première directive +SSLCertificateFile.

    + + +Interopérabilité des paramètres DH avec les nombres premiers de +plus de 1024 bits +

    +Depuis la version 2.4.7, mod_ssl utilise des +paramètres DH standardisés avec des nombres premiers de 2048, 3072 et +4096 bits (voir RFC +3526), et les fournit aux clients en fonction de la longueur de la +clé du certificat RSA/DSA. En particulier avec les clients basés sur +Java (versions 7 et antérieures), ceci peut provoquer des erreurs au +cours de la négociation - voir cette réponse de la FAQ SSL pour +contourner les problèmes de ce genre. +

    +     + Exemple SSLCertificateFile /usr/local/apache2/conf/ssl.crt/server.crt diff --git a/docs/manual/ssl/ssl_faq.xml.fr b/docs/manual/ssl/ssl_faq.xml.fr index a9dd48dc42..0e9abfc469 100644 --- a/docs/manual/ssl/ssl_faq.xml.fr +++ b/docs/manual/ssl/ssl_faq.xml.fr @@ -1,7 +1,7 @@ - + @@ -559,6 +559,10 @@ et mot de passe sont envoyés en clair ?
  • Pourquoi des erreurs d'entrée/sortie apparaissent-elles lorsqu'on se connecte à un serveur Apache+mod_ssl avec Microsoft Internet Explorer (MSIE) ?
    • +
  • Comment activer TLS-SRP ?
    • +
  • Pourquoi des erreurs de négociation apparaissent +avec les clients basés sur Java lorsqu'on utilise un certificat de plus +de 1024 bits ?
    • Pourquoi de nombreuses et aléatoires erreurs de @@ -808,6 +812,46 @@ SetEnvIf User-Agent "MSIE [2-5]" \ </example> </section> +<section id="javadh"><title>Pourquoi des erreurs de négociation apparaissent +avec les clients basés sur Java lorsqu'on utilise un certificat de plus +de 1024 bits ? +

    Depuis la version 2.4.7, + mod_ssl utilise des paramètres DH qui comportent + des nombres premiers de plus de 1024 bits. Cependant, java 7 et ses versions + antérieures ne supportent que les nombres premiers DH d'une longueur + maximale de 1024 bits.

    + +

    Si votre client basé sur Java s'arrête avec une exception telle + que java.lang.RuntimeException: Could not generate DH + keypair et + java.security.InvalidAlgorithmParameterException: Prime size + must be multiple of 64, and can only range from 512 to 1024 + (inclusive), et si httpd enregistre le message tlsv1 + alert internal error (SSL alert number 80) dans son journal + des erreurs (avec un LogLevel + info ou supérieur), vous pouvez soit réarranger la + liste d'algorithmes de mod_ssl via la directive SSLCipherSuite (éventuellement en + conjonction avec la directive SSLHonorCipherOrder), soit utiliser la + directive SSLCertificateFile + pour configurer des paramètres DH personnalisés avec un nombre + premier de 1024 bits, paramètres qui seront toujours prioritaires + par rapport à tout autre paramètre DH par défaut.

    + +

    Pour générer des paramètres DH personnalisés, utilisez la + commande openssl dhparam. Vous pouvez aussi ajouter les + paramètres DH standards issus de la RFC 2409, section 6.2 + au fichier SSLCertificateFile + considéré :

    + 
    -----BEGIN DH PARAMETERS-----
+MIGHAoGBAP//////////yQ/aoiFowjTExmKLgNwc0SkCTgiKZ8x0Agu+pjsTmyJR
+Sgh5jjQE3e+VGbPNOkMbMCsKbfJfFDdP4TVtbVHCReSFtXZiXn7G9ExC6aY37WsL
+/1y29Aa37e44a/taiZ+lrp8kEXxLH+ZJKGZR7OZTgf//////////AgEC
+-----END DH PARAMETERS-----
     +
    + -- 2.40.0