Adopte la comunicación web segura: Wildcard HTTPS con Let's Encrypt y Nginx

Uso exclusivo de protocolos seguros

No todos los protocolos de seguridad se desarrollan de la misma manera, y algunos son menos seguros que otros. Por ejemplo, los certificados SSLv2 y SSLv3 se quedan atrás en cuanto a niveles de seguridad en comparación con los certificados TLS. Se considera que los certificados SSL tienen imperfecciones innatas en cuanto a protocolos de seguridad. De ahí la necesidad de sustituirlos por protocolos mejores. En el caso de SSL, se trata de TLSv1.1 y TLSv1.2.

Sin embargo, incluso con los certificados TLS, es mejor utilizar los certificados más recientes, aunque algunos navegadores sigan exigiendo versiones más antiguas.

Activación de HTTP Strict Transport Security (HSTS)

Strict Transport Security protege los certificados TLS garantizando una comunicación segura con los sitios web que los utilizan. Así, aunque haya problemas de configuración o implementación, HSTS garantizará la seguridad suficiente de los certificados, haciendo que cualquier enlace sea seguro. También avisará a los usuarios de los ataques desactivando la función de advertencia de clic integrada en los certificados.

Puede activar el HTST mediante el siguiente comando:

add_header Strict-Transport-Security "max-age=31536000; includeSubdomains";

Mejora de las suites de cifrado para la encriptación

La función de los conjuntos de cifrado es evaluar el grado de seguridad de la comunicación entre un servidor web y los clientes visitantes.

A continuación, encontrará un ejemplo creado para claves RSA y ECDSA:

ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256

Finalmente, el cliente indica las suites de cifrado que utiliza y da a los servidores opciones para elegir suites de cifrado. El cliente pone los cifrados en el servidor en orden descendente, del más seguro al menos seguro. Puede utilizar el siguiente comando para activar esta función:

ssl_prefer_server_ciphers on;

Tenga en cuenta que esto funciona con protocolos SSL, es decir, SSLv3 y posteriores.

Implementación del algoritmo efímero Diffie-Hellman

El algoritmo Diffie-Hellman es un protocolo que intercambia las claves entre dos partes para crear un secreto mutuo que no puede ser descubierto fuera de la comunicación entre las dos partes. DH es básicamente una forma de cifrado que indica a las dos partes que utilicen una clave pública para cifrar o descifrar los datos que intercambian. En pocas palabras, la información secreta se mezcla con la información pública, por lo que sería imposible discernir la información secreta. Es un método útil para establecer la clave compartida entre un servidor y un cliente y utilizar esa clave para cifrar los datos compartidos entre ellos.

El DHE estático se diferencia de su algoritmo efímero porque este último genera una clave temporal para cada interacción sin repetirla. Así, DHE promueve la seguridad a largo plazo, ya que una clave temporal no puede filtrarse, al igual que los datos protegidos por ella.

Puede utilizar el algoritmo DHE mediante el siguiente comando:

sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

La salida se puede utilizar en la configuración de Nginx, así:

ssl_dhparam /etc/ssl/certs/dhparam.pem;

Redireccionamiento automático de conexiones no cifradas

Una forma útil de garantizar una comunicación web segura es redirigir las conexiones HTTP no cifradas a HTTPS cifradas. Puede hacerlo con el siguiente comando:

server {
  listen 80;
  server_name domain_name;
  return 301 https://$server_name$request_uri; 
}

Con él, está creando sólo un segmento de HTTP para que su servidor web pueda detectarlo y actualizar la conexión HTTP a HTTPS. Así, aunque el enlace utilice "http:" se convertirá a "https:".

Integrar todas las medidas de seguridad en la configuración

Aunque el cliente de Certbot guarda la configuración de Nginx cuando se utiliza CentOS, editar manualmente la configuración del cliente Nginx evitará que el archivo se actualice en el futuro. Para ello, cree un nuevo archivo Nginx con el siguiente comando:

sudo vi /etc/nginx/conf.d/domain_name.conf

Con ese comando, crea un archivo Nginx separado que detecta conexiones HTTPS utilizando todas las medidas de seguridad mencionadas anteriormente.

Para añadir las medidas de seguridad, duplica el siguiente ejemplo en Nginx:

# HTTPS server
server {
    listen 443 ssl;
    server_name domain_name;
    ssl_certificate /etc/letsencrypt/live/domain_name/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/domain_name/privkey.pem;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 5m;
    ssl_protocols TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_dhparam /etc/ssl/certs/dhparam.pem;
    ssl_ciphers
ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256;
    add_header Strict-Transport-Security "max-age=31536000; includeSubdomains";
    location / {
    root /usr/share/nginx/html;
    index index.html index.htm;
    }
}


#HTTP redirect
server {
   listen 80;
server_name domain_name;
return 301 https://$server_name$request_uri; 
}

Asegúrese de guardar el archivo en Nginx, y luego reinicie Nginx con el siguiente comando:

sudo systemctl restart nginx

Ahora puede abrir su sitio web en el navegador utilizando la dirección https://domain_name. Si se carga, significa que la instalación se ha realizado correctamente.

Si desea comprobar más a fondo lo bien que funciona el cifrado del servidor en el navegador, utilice una prueba de Qualys SSL Labs. Ponga el nombre de su dominio (host) en su sitio web y pulse el botón Enviar. La prueba le proporcionará información sobre los distintos aspectos del cifrado de su servidor.