Como posso desativar o TLS 1.0 e 1.1 no apache?

Alguém sabe por que não consigo desativar o tls 1.0 e o tls1.1 atualizando a configuração para isso.

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 

Depois de fazer isso, recarrego o apache, faço uma varredura ssl usando a ferramenta ssllabs ou comodo ssl, e ele ainda diz que os tls 1.1 e 1.0 são suportados. Gostaria de removê-los?

Quando você tem vários TLS VirtualHosts e usa o Server Name Indication (SNI), é uma sintaxe permitida ter uma SSLProtocol diretiva para cada VirtualHost, mas, a menos que você tenha IP VirtualHosts na prática, as configurações da primeira ocorrência da SSLProtocoldiretiva são usadas para todo o servidor e / ou todos os VirtualHosts baseados em nome que suportam TLS ¹ .

Portanto, verifique seus principais httpd.conftrechos (e todos os trechos incluídos, por exemplo, conf.d/*.confe similares) para mais ocorrências da SSLProtocoldiretiva.

Sua sintaxe está correta, embora eu concorde com a resposta do ezra-s de que, ao expandir a allabreviação, você pode melhorar um pouco:

 SSLProtocol +SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2 -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 

simplesmente usando:

 SSLProtocol TLSv1.2

que você especificou é suficiente, ele não deve mostrar nenhum outro protocolo. Lembre-se de SSLLABS armazena em cache os testes recentes. Embora saber que não há outros protocolos definindo isso como você fez seja meio complicado de propósito.

Em qualquer caso, você pode usar isso ou simplesmente:

SSLProtocol TLSv1.2

Eu estava lutando com esse problema também, modificar configurações com a SSLProtocoldiretiva não estava funcionando. Acabei adicionando o seguinte à minha configuração de host virtual:

SSLOpenSSLConfCmd Protocol "-ALL, TLSv1.2"

O que funcionou perfeitamente. Você pode ler mais sobre a SSLOpenSSLConfCmddiretiva aqui .

Desative a versão TLS1.0 no Apache.

Se você possui várias hospedagens virtuais, é necessário atualizar todos os arquivos de configurações, caso contrário, o ssl.conf é suficiente.

Para verificar a versão de suporte do TSL:

# nmap --script ssl-enum-ciphers -p 443 192.168.11.10 | grep TLSv
|   TLSv1.0:
|   TLSv1.1:
|   TLSv1.2:

Modifique o arquivo de configuração do Apache vi /etc/httpd/conf.d/web.confremova todo o TLS e permita apenas o TLS1.2.

SSLProtocol TLSv1.2

Valide após a modificação.

# grep SSLProtocol /etc/httpd/conf.d/web.conf
SSLProtocol TLSv1.2

# nmap --script ssl-enum-ciphers -p 443 192.168.11.10 | grep TLSv
|   TLSv1.2:
# service httpd restart

Você precisa reiniciar o serviço Apache usando o seguinte comando para refletir as alterações.

sudo service apache2 restart

O código abaixo funcionará bem para mim, você pode conferir este artigo para obter mais detalhes, https://karthikekblog.com/how-to-disable-enable-ssl-tls-protocols-in-ubentu-apache-linux-server/

<VirtualHost *:443>
ServerName www.yourdomain.com
DocumentRoot /var/www/html
SSLEngine on
SSLProtocol +TLSv1.2
SSLCertificateFile /etc/apache2/certificates/certificate.crt
SSLCertificateKeyFile /etc/apache2/certificates/certificate.key 
SSLCertificateChainFile /etc/apache2/certificates/intermediate.crt
</VirtualHost>