リリースされ、正式にTLS1.3がサポートされました。Chrome・Firefoxは既にTLS1.3正式版に対応しており、FacebookやGmailなどの大手サイトもTLS1.3に対応しています。普通にTLS1.3が利用されるようになるのも、そう遠くない未来かもしれません。1.1.1]で紹介しましたが、今回はApache(httpd)をTLS1.3に対応させる方法をまとめてみました。1.1.1とTLS1.3に対応しています。これ以降のバージョンをインストールし、適切な設定をしてやることで、TLS1.3に対応することが可能になります。比較的新しいバージョンなので、自分でソースからビルドしてインストールする方法を取ることになります。1.1.1は、共に脆弱性が発見されており、セキュリティアップデートが行われています。ApacheとOpenSSLは、インストールする時点での最新バージョンを使うようにしてください。最小構成)他のディストリビューションでは未検証ですが、共通している部分は多いのではないかと思います。必要ライブラリ最新のApacheをインストールするには、以下のライブラリ等が必要になります。以降APRAPR-utilビルドに必要なライブラリ・ツール類(perl、gcc、zlib-devel、expat-devel、pcre-devel)OpenSSLのインストールダウンロード最新版のダウンロードURLは、https://www.openssl.org/source/から確認できます。7)OS標準のものを置き換えるわけではなく、Apacheからのみ利用するものを別でインストールするので、安全に実行できます。8の場合DNF(YUM)がエラーを吐いて動作しなくなるので、こちらの手順でインストールします。install共有ライブラリのパスを通す先ほどインストールしたOpenSSLは、Apacheから使えるように共有ライブラリとしてビルドしています。このままではApacheなどのほかのアプリケーションから見えないので、共有ライブラリのパスを通します。正常にバージョンが表示されればインストールは成功です。Runtime)は、Apacheを様々なプラットフォームで動作させるためのライブラリです。最新版ダウンロードURLは、https://apr.apache.org/から確認できます。installApacheのインストールいよいよApache本体のインストールです。最新版のダウンロードURLは、http://httpd.apache.org/download.cgiから確認できます。installconfigureで指定するビルドオプションは環境に合わせて変更してください。赤字で示したオプションは、必須項目です。ここで示したコマンド例は、yumでインストールできるhttpdに近い構成でインストールするためのものです。正常にバージョンが表示されればインストールは成功です。with....#以下略Apacheの設定SSL/TLS関連の設定に絞って解説します。conf/extra/httpd-ssl.confmod_sochache_shmcbは、SSLセッションキャッシュを動作させるために有効化する必要があります。コンテキスト内を少し修正します。]内は適宜変更してください。設定する必要はない、応用的な設定を一部紹介します。安易にコピペするとえらいことになる可能性があるので、意味を理解したうえで設定してください。ディレクティブで暗号スイートを設定できます。TLS1.3では、暗号スイートの種類と表記が変更になったため(公開鍵アルゴリズムは、サーバ証明書から自動的に判定してくれるようになったので表記しません)、TLS1.2以下の暗号スイートとは別に設定します。第一パラメータにTLSv1.3を指定することで、TLS1.3の暗号スイートを設定することができます。現状利用できるのは、設定例に書いてある3つのみです。基本的にはAESを優先的に利用することになるでしょう。鍵長が128ビットと256ビットから選べますが、256ビットは現状やや過剰気味だと思うので、設定例では128ビットを優先しています。ディレクティブで利用可能なプロトコルを設定できます。デフォルト設定では、TLSv1.0~TLSv1.3が有効になります。ディレクティブでは、TLSセッションチケットのオンオフを設定できます。Security(前方秘匿性)が保たれません。サーバ認証用の秘密鍵が何らかの理由で漏洩したとしても、既に終了したセッションの情報を攻撃に利用することができないことをいいます。セッションチケットの秘密鍵が長期間更新されないと、秘密鍵が漏洩したとき、そのサーバの過去のセッション情報を取得されていた場合にそれを攻撃に悪用される可能性があります。以降がTLS1.3に対応しているので、これらのブラウザでサーバにアクセスして確認します。ツール」を選択し、「Security」タブから確認できます。―「詳細を表示」から確認できます。欄から確認できる(クリックで拡大)まとめnginxと比べると少し手間がかかりますが、TLS1.3の暗号スイートをしっかり設定できるのが良いですね。コメントをキャンセル質問・感想などお気軽にどうぞ。*が付いている項目は入力必須です。メールアドレス以外の項目が公開されます。スパム防止のため、コメント反映まで少々時間がかかります。無償アップグレード方法【2019年版】リンクGitHubアカウントを開設しました!当ブログ内で取り上げたコードなどを上げています。