Februar 21, 2014
Kommentieren
Sie haben für gutes Geld ein SSL Zertifikat gekauft und installiert. Wenn Sie mit dem Browser auf Ihre SSL geschützte Website zugreifen, scheint alles in Ordnung, Vulnerability Scanner oder Kommandozeilen-Tools beschweren sich jedoch und behaupten, das Zertifikat sei nicht vertrauenswürdig … Continue reading
Februar 19, 2014
1 Kommentar
Um mehr Kontrolle über die HTTP Header im nginx zu erhalten, empfiehlt sich das Modul ngx_headers_more. Wurde dieses erfolgreich mit kompiliert, kann zum Beispiel der Server Banner beliebig überschrieben werden: more_set_headers „Server: MyWebServer“; Das Entfernen von Header Einträgen geschieht via … Continue reading
November 29, 2013
Kommentieren
Um dem nginx Webserver mitzuteilen, welche HTTP Methoden akzeptiert werden sollte, muss folgenden Konfiguration gesetzt werden: if ($request_method !~ ^(GET|HEAD|POST)$ ) { return 444; } Im obigen Beispiel werden explizit die Methoden GET, HEAD und POST zugelassen. Alle anderen Methoden … Continue reading
April 14, 2013
2 Kommentare
Falls Sie SSL verwenden, sollten Sie beim nginx Webserver SSLv2 und aufgrund der POODLE Schwachstelle auch SSLv3 deaktivieren und nur noch TLSv1 zulassen: ssl_protocols TLSv1 TLSv1.1 TLSv1.2; Sie sollten zudem bei nginx Schwache SSL Ciphers deaktivieren.
April 14, 2013
2 Kommentare
Falls Sie SSL verwenden, sollten Sie beim nginx Webserver sämtliche schwachen Ciphers deaktivieren: ssl_ciphers „ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:\ DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:\ ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:\ ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:\ AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4“; Wenn Sie schon dabei sind, sollten sie auch bei nginx SSLv2 und SSLv3 deaktivieren.