1

Recentemente eu recebi um email pedindo para atualizar a versão do TLS do meu site de 1.0 para 1.1 ou superior.

Eu acho estranho por que o meu site usa SSL e não TLS.

Como posso verificar qual desse protocolos estão ativos?

OBS 1. O site está hospedado na AWS EC-2 com certificado auto assinado "Let's encrypt" e certbot instalado.

OBS 2. Eu "Herdei" o site de um outro desenvolvedor, então não sei todas as configurações executadas.

OBS 3. Site feito em PHP usando Apache

3
  • Seu website é feito em qual linguagem?
    – gregoryp
    Commented 15/06/2018 às 12:14
  • @perozzo , Apache PHP Commented 15/06/2018 às 12:14
  • Recebeu e-mail de quem? Da Amazon?
    – Dherik
    Commented 15/06/2018 às 13:40

2 Respostas 2

3

O protocolo TLS é o sucessor já a algum tempo do SSL, mas usa-se frequentemente o termo SSL para ambos pela popularidade do mesmo.

Realmente é muito importante manter sempre seu servidor atualizado com a versão estável mais recente, evitando dentro do possível na atualidade problemas de segurança nas conexões.

Independentemente de qual serviço de hospedagem você esteja utilizando, é possível verificar a versão TLS de muitos sites através de uma varredura online no seguinte endereço:

https://www.ssllabs.com/ssltest/

Basta informar seu domínio e fazer a varredura, um relatório extenso será exibido, e você poderá navegar até a seção de "Configurações" onde você verá os protocolos suportados ou não ordenados por ordem de preferência do servidor.

Essa pergunta pode te ajudar a iniciar com o upgrade: https://stackoverflow.com/questions/32484663/how-should-i-proceed-with-upgrading-to-tls-1-2

Fontes:

https://pt.wikipedia.org/wiki/Transport_Layer_Security

https://www.wst.space/ssl-part1-ciphersuite-hashing-encryption/

2

Caso o site possa ser acessado via internet, use o SSLTest. O site vai gerar um report gigante com várias informações sobre o que o servidor suporta, por exemplo:

  • Protocolos
  • Ciphersuites
  • Certifacate Chain (cadeia de certificados?)

Pode conferir aqui o report pro site do google.

Caso o site só seja acessível em uma rede interna, podes usar o nmap. No stackexchange de security a questão já foi respondida:

Traduzindo:

"

Você pode usar nmap para escanear o servidor:

# nmap --script ssl-enum-ciphers example.com
tarting Nmap 6.47 ( http://nmap.org ) at 2014-10-15 03:19 PDT
Nmap scan report for example.com (203.0.113.100)
Host is up (0.090s latency).
rDNS record for 203.0.113.100: edge.example.com
Not shown: 997 filtered ports
PORT    STATE SERVICE
80/tcp  open  http
443/tcp open  https
| ssl-enum-ciphers: 
|   **SSLv3: No supported ciphers found**
|   TLSv1.0: 

"

Só substitui o example.com no comando pro endereço do teu site.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .