Debian OpenSSL安全策略设置

Debian 上的 OpenSSL 安全策略设置

一 基线策略与系统更新

• 保持系统与 OpenSSL 为最新稳定版本，及时应用安全补丁，优先使用 Debian 12（bookworm） 的最新小版本以获得修复与强化。
• 仅启用 TLS 1.2/1.3，禁用 SSLv3、TLS1.0/1.1 及不安全套件；优先使用 ECDHE 密钥交换与 AEAD 套件（如 AES-256-GCM、CHACHA20-POLY1305）。
• 选择强哈希与签名算法：证书与签名使用 SHA-256/384 及以上；禁用 MD5、SHA-1。
• 证书与密钥管理：私钥使用 AES-256 加密保护，设置强口令并妥善备份；限制私钥文件的访问权限（仅属主可读）。

二 配置文件 openssl.cnf 的加固要点

• 备份原始配置并编辑系统 OpenSSL 配置（常见路径：/etc/ssl/openssl.cnf 或发行版提供的其他位置）。
• 在 [system_default_sect] 或相应小节设置安全基线（示例）：
  • 协议与套件：
    • MinProtocol = TLSv1.2
    • CipherString = DEFAULT@SECLEVEL=2
  • 哈希与签名：
    • default_md = sha256
• 如需兼容旧客户端，可仅将 MinProtocol 调至 TLSv1.2；新部署建议直接启用 TLSv1.3。
• 修改后重启依赖 OpenSSL 的服务（如 nginx、apache2、postfix）以生效。

三 证书与密钥生命周期管理

• 生成私钥与 CSR（示例）：
  • 生成私钥：openssl genpkey -algorithm rsa -out server.key -aes256
  • 生成 CSR：openssl req -new -key server.key -out server.csr
• 自签名或 CA 签发后，验证证书内容：openssl x509 -in server.crt -text -noout
• 证书轮换与撤销：
  • 建议证书有效期不超过 365 天，到期前完成续签与平滑切换。
  • 启用 OCSP Stapling 与 CRL 检查，减少失效证书带来的风险。
• 私钥与配置安全：
  • 私钥权限：chmod 600 server.key；属主为运行服务的专用用户。
  • 定期备份私钥与证书链，并妥善管控备份介质的访问权限。

四 服务与网络层加固

• 仅开放必要端口与来源：通过 UFW/iptables 限制入站仅放行 22/80/443 等必要端口，对管理口实施来源 IP 白名单。
• 服务最小化：禁用未使用的 SSL/TLS 虚拟主机与端口；关闭明文协议与端口。
• 强化 SSH（与 OpenSSL 共同保障管理通道）：
  • 禁用 root 远程登录：PermitRootLogin no
  • 使用 SSH 密钥 认证，禁用口令登录
• 持续监控与审计：
  • 集中收集与审计系统与安全日志（如 auth.log、nginx/ssl 日志），对异常握手、协议降级与证书失效告警。

五 快速核查清单

以上策略按“基线—配置—证书—网络—核查”的顺序实施，可在不影响业务连续性的前提下显著提升 Debian 上 OpenSSL 的安全性与合规性。