Как обновить tls сертификат

Обновление SSL-сертификата

Протокол SSL (от англ. Secure Sockets Layer – уровень защищённых сокетов) криптографический протокол, который гарантирует безопасное соединение. Для работы SSL-протокола требуется, чтобы на сервере был установлен SSL-сертификат.

SSL-сертификат – это уникальная цифровая подпись. Такой сертификат нужен для защиты транзакций и предотвращения несанкционированного доступа к информации.

Обновление SSL-сертификата необходимо для продолжения действия протокола.

Ссылка

Актуальные сертификаты, которые нужно установить:

Порядок действий для обновления

Посмотрите видео на YouTube:
Видеоинструкция по установке SSL-сертификата

Чтобы обновить SSL-сертификат, необходимо:

Скачать сертификат по ссылке (ссылки указаны выше).
Запустить скачанный файл.
Если появится окно предупреждения безопасности, нажать « Открыть » . Если данное окно не появится, то перейти к следующему шагу.

Как обновить SSL-сертификат Let’s Encrypt

Let’s Encrypt — это центр сертификации (ЦС), который предоставляет бесплатные цифровые сертификаты для включения HTTPS (SSL/TLS) на веб-сайтах. Эти сертификаты используются для шифрования связи между веб-сайтом и его пользователями, обеспечивая конфиденциальность и безопасность конфиденциальной информации, такой как учетные данные для входа и данные кредитной карты. Сертификатам Let’s Encrypt доверяют все основные веб-браузеры, что делает их доступными и надежными для владельцев веб-сайтов для защиты своих сайтов.

Для всех веб-сайтов важно иметь действующий сертификат SSL/TLS для защиты пользовательских данных. Однако эти сертификаты имеют ограниченный срок действия, обычно 90 дней. По истечении этого периода вам необходимо обновить сертификат, чтобы поддерживать безопасное подключение к вашему веб-сайту. В этой статье мы обсудим, как обновить сертификаты Let’s Encrypt в системах на базе Linux.

Продление сертификата Let’s Encrypt

Существует несколько способов обновить сертификат Let’s Encrypt, но наиболее распространенным является использование Certbot — инструмента, разработанного Electronic Frontier Foundation (EFF), который упрощает процесс получения и обновления сертификатов SSL/TLS.

Шаг 1. Проверьте доступность Certbot

Перед обновлением сертификата Let’s Encrypt убедитесь, что в вашей системе установлен Certbot.

Выполните следующую команду, чтобы проверить, установлен ли Certbot в вашей системе:

$ sudo certbot —version

Если Certbot не установлен, вы увидите следующий вывод терминала:

Вы можете установить Certbot, выполнив следующую команду:

$ sudo pip install certbot certbot-nginx

Вы увидите вывод, похожий на следующий:

Выполните следующую команду, чтобы создать символическую ссылку, чтобы убедиться, что Certbot работает:

$ sudo ln -s / opt / certbot / bin / certbot / usr / bin / certbot

Шаг 2. Продлите сертификат с помощью Certbot

После установки Certbot вы можете обновить свой сертификат Let’s Encrypt.

Выполните следующую команду, чтобы обновить сертификат:

$ sudo certbot renew

Примечание. Эта команда проверяет, требуется ли продление какого-либо из ваших сертификатов, и автоматически продлевает их, если это необходимо. Если у вас нет сертификатов для обновления, он показывает вам пустой вывод обновления, как показано ниже:

Шаг 3. Продление конкретного сертификата

Если у вас есть несколько доменов или поддоменов на вашем веб-сайте, вам может потребоваться указать, какой сертификат вы хотите обновить.

Вы можете сделать это, выполнив следующую команду:

$ sudo certbot renew —cert-name example.com

Примечание. Замените «example.com» на имя вашего домена или поддомена.

Шаг 4. Продление нескольких сертификатов

Если у вас несколько доменов или поддоменов, вы можете указать несколько сертификатов, разделив их запятыми.

Выполните следующую команду:

$ sudo certbot renew —cert-name example.com,www.example.com

Шаг 5. Проверка продления сертификата

Если вы хотите протестировать процесс обновления без фактического обновления сертификата, вы можете использовать флаг –dry-run.

Выполните следующую команду, чтобы проверить обновление сертификата:

$ sudo certbot renew —dry-run

Примечание. Это имитирует процесс продления и позволяет узнать, есть ли какие-либо проблемы, которые необходимо решить до фактического продления.

Шаг 6. Продление сертификатов при изменении веб-сайта

Важно отметить, что каждый раз, когда вы вносите изменения в конфигурацию веб-сайта, такие как изменение веб-сервера или добавление новых доменов, вам необходимо обновить свой сертификат Let’s Encrypt, чтобы отразить эти изменения.

Выполните следующую команду, чтобы отразить изменения:

$ sudo certbot certonly —force-renewal -d example.com -d www.example.com

Примечание. Замените «example.com» и «www.example.com» доменами или субдоменами, которые вы хотите обновить.

- Флаг –force-renewal заставляет Certbot выдать новый сертификат, даже если текущий сертификат все еще действителен.
Поиск неисправностей

Чаще всего возникают проблемы во время обновления сертификата веб-сайта. К ним могут относиться ошибка подключения или ошибка недействительности доменного имени. Вы должны попробовать выполнить следующие шаги для устранения проблем:
- - Убедитесь, что часы вашего сервера установлены правильно. Let’s Encrypt требует, чтобы часы на вашем сервере были установлены в пределах определенной погрешности.
  - Убедитесь, что ваши записи DNS настроены правильно. Let’s Encrypt использует DNS для подтверждения права собственности на домен. Любые проблемы с вашими записями DNS могут помешать завершению процесса обновления.
  - Убедитесь, что ваш веб-сервер работает и доступен. Если ваш веб-сервер не работает или недоступен, Certbot не сможет обновить ваш сертификат.
  - Убедитесь, что ваш брандмауэр не блокирует серверы Let’s Encrypt. Let’s Encrypt использует определенные IP-адреса для проверки владения доменом. Если ваш брандмауэр блокирует эти IP-адреса, процесс обновления завершится ошибкой.
  Заключение
  
  Продление сертификата Let’s Encrypt — относительно простой процесс, который можно быстро и легко выполнить с помощью инструмента Certbot. С помощью всего нескольких команд вы можете обеспечить безопасность своего веб-сайта или веб-приложения и защитить его от нежелательных атак. Let’s Encrypt упростил защиту вашего веб-сайта или веб-приложения с помощью сертификатов SSL/TLS, а их обновление — простой процесс, который может выполнить любой, обладающий небольшими техническими знаниями. С помощью правильных инструментов и знаний вы можете гарантировать, что ваше присутствие в Интернете останется безопасным и надежным, а ваши посетители будут защищены от потенциальных угроз безопасности.
  
  Все права защищены. © Linux-Console.net • 2019-2023
  
  Как обновить TLS до 1.2?
  
  Пришло письмо от гугла с требованием обновить TLS до 1.2. Сертификат от Let’s Encrypt. Php 7.2.
  Я не очень понимаю, что мне нужно обновить, чтобы обновился TLS?
  - Вопрос задан более трёх лет назад
  - 3327 просмотров
  3 комментария
  
  Простой 3 комментария
  
  Настройки веб сервера покажите, версию openssl
  Dwellss @Dwellss Автор вопроса
  Сослан Хлоев, версия OpenSSL 1.1.1d 10 Sep 2019
  Dwellss, openssl 1.1.1 поддерживает даже TLS 1.3
  Решения вопроса 0
  Ответы на вопрос 3
  smilingcheater @smilingcheater
  
  За шифрование у вас на сервере что отвечает — apache или nginx? В nginx в надо указать директиву ssl_protocols TLSv1.2; Про апач не подскажу.
  
  Ответ написан более трёх лет назад
  Комментировать
  Нравится 2 Комментировать
  
  Для поддержки шифрования программы обычно используют OpenSSL.
  
  OpenSSL 1.1.1d, который умеет TLS 1.3, есть в Debian 10. Версия из Debian 9 точно умела TLS 1.2.
  
  Если версия слишком старая, то никакое изменение конфигов не поможет.
  
  Ответ написан более трёх лет назад
  Комментировать
  Нравится 1 Комментировать
  Cloud infrastructure, monitoring engineer. SRE
  
  1. определить какое ПО у вас принимает ssl соединение.
  Это может быть балансировщик (haproxy, nginx, etc) или вебсервер(nginx, apache, etc..)
  2. отключить использование TLS ниже 1.2 или жестко задать использование tls 1.2(второе не рекомендуется, но возможно в некоторых случаях придется использовать)
  Для этого нужно исправить конфигурацию той секции, которая принимает внешние соединения по https.
  Я бы ориентировался на https://ssl-config.mozilla.org/ — конфигуратор от Мозиллы. Только не надо бездумно копировать то что там написано — нужно понимать куда и что прописывать. Этот конфиг генератор подойдет для дефолтных инстялляций или как справочный материал.
  Прежде чем делать что-то в следующих пунктах я бы сначала проверил какие версии tls поддерживает ваш вебсервер: натравите на него https://www.ssllabs.com/ssltest/ — он в репорте напишет какие версии TLS поддерживает ваше текущее ПО. Если там есть как минимум tls 1.2(и в идеале и 1.3) — значит можно обойтись настройкой, без обновления ПО
  
  3. В тяжелых случаях возможно потребуется обновить то ПО которое SSL соединение принимает.
  4. Или openssl либы на машине.
  5. Или обновить ПО с использованием либ последних версий openssl
  
  Ответ написан более трёх лет назад
  Комментировать
  Нравится Комментировать
  Ваш ответ на вопрос
  
  Войдите, чтобы написать ответ
  - Debian
  - +2 ещё
  Слабая скорость между виртуальной машиной и сервером rsync?
  - 1 подписчик
  - 8 часов назад
  - 27 просмотров
  Как обновить tls сертификат
  
  АУДИТ САЙТА — СЕРТИФИКАТ HTTPS
  Инструкцию одобрил
  SEO-специалист в Luxeo
  Илья Беланенко
  
  Протокол TLS — усовершенствованная модификация SSL — secure sockets layer, которая обеспечивает защиту данных при их передаче в интернете. Использование сертификата SSL с устаревшей версией ведет к уязвимостям, которых можно избежать, перейдя на шифрование TLS.
  
  Что такое протокол TLS
  
  Протокол TLS — аббревиатура «transport layer security», которая переводится с английского как протокол «защиты транспортного уровня». Данный протокол создан с той же целью, что и его предшественник SSL — для защиты данных в интернете. При этом он обладает дополнительными возможностями, которые позволяют использовать протокол не только в браузерах Google Chrome, Firefox, Safari, но и в мессенджерах, IP-телефонии.
  
  Данный протокол регулярно улучшается и обновляется компанией IETF для обеспечения надежного шифрования, аутентификации и целостности данных. Последняя версия спецификации на данный момент — TLS 1.3 , появившаяся в августе 2018 года.
  
  Необходимость в обновленном протоколе защиты данных возникла еще в 1999 году, поскольку в протоколе SSL были обнаружены уязвимости. Сейчас все версии SSL-протокола были успешно атакованы с помощью POODLE . Указанная атака позволяет подменять данные пользователя и побайтно расшифровывать информацию, передаваемую по защищенному каналу данных.
  
  Чем отличаются протоколы SSL и TLS
  
  Учитывая, что протокол TLS создан на основе SSL, два данных варианта достаточно сходны. Фактически можно считать, что версия TLS 1.0 — это SSLv3.1. Развитием протоколов занимаются различные компании — SSL создан компанией Netscape, TLS — IEFL.
  
  TLS имеет некоторые различия с SSL-протоколом: отличаются ключи и список наборов шрифтов, есть разница в псевдослучайной функции PRF и функции хэширования HMAC, используемой для построения блока симметричных ключей при шифровании данных. В TLS-протокол добавлен ряд алгоритмов, обеспечивающих безопасность канала передачи данных.
  
  Фактически многие пользователи продолжают называть протокол TLS «SSL-шифрованием». Такой термин получил повсеместное распространение и, как правило, используется поставщиками, которые на самом деле предлагают шифрование TLS:
  
  Хостинг-провайдер, предоставляющий TLS-защиту
  - Как продлить срок действия сертификата SSL
  - SEO-аудит сайта с помощью Serpstat: обзор инструмента
  - Как проверить валидность доменного сертификата SSL
  - Как найти на сайте ошибки, которые мешают его продвижению?
  Как узнать версию TLS на сайте
  
  Проверить наличие безопасного соединения и текущую версию протокола, используемого на сайте, можно с помощью сервиса SSL-checker. Данный инструмент позволяет получить подробный отчет об используемых на проекте версиях SSL и TLS.
  
  Для проверки введем адрес домена и нажмем «Check SSL/TLS»:
  
  Онлайн-проверка TLS/SSL
  В отчете будут описаны все версии протоколов, которые используются для защиты информации:
  
  Результаты проверки TLS и SSL
  SSL vs TLS
  
  Многие веб-разработчики задаются вопросом, какой выбрать протокол — SSL или TLS. Учитывая выявленную уязвимость , вместо SSL-протокола необходимо включить TLS согласно рекомендациям специалистов, поскольку установка SSL сертификата небезопасна. Рассматривая сертификаты SSL TLS, необходимо обращать внимание на то, какие стандарты шифрования использует компания, предоставляющая защищенный канал связи:
  
  Хостинг-провайдер дает возможность выбрать версию TLS-протокола
  
  В характеристиках сертификата обязательно должно быть указано, что используется одна из последних версий спецификации протокола TLS. Стоит учитывать версию, поскольку в протоколах TLS 1.0, TLS 1.1 и TLS 1.2 были обнаружены уязвимости, которые устранили в более новых спецификациях.
  
  Чтобы быстро узнать какие проблемы есть у твоего сайта и получить рекомендации по их устранению, нажимай на Проверить свой сайт.
  
  Проверить свой сайт
  Хотите узнать, как с помощью Serpstat найти и исправить технические ошибки на сайте?
  
  Оставьте заявку и наши специалисты проконсультируют вас по продвижению вашего проекта, поделятся учебными материалами и инсайтами рынка!
  
  Как обновить до TLS 1.3
  
  Протокол TLS 1.3 — более новая и защищенная версия, которую предпочтительно использовать для защиты информации на сайтах, в этой спецификации существенно поменяли принцип установления соединения, сделав при этом протокол архитектурно стройнее. В 2022 году допускается использование версии TLS 1.2, однако желательно перейти на новую. Старые версии имеют существенные изъяны и не рекомендуются.
  
  Специалисты Google выявили фундаментальный изъян в используемом в TLS 1.0 и 1.1 шифре RC4.Тесты определили, что данные версии недостаточно безопасны, выявленная уязвимость классифицирована как CVE-2014-8730 .
  
  Чтобы обеспечить надежную защиту данных, в современных протоколах используются 256-битные ключи шифрования, которые почти невозможно успешно атаковать. Версия TLS 1.3 не совместима с предыдущими спецификациями и при этом построена на другом инженерном принципе. Новая версия протокола применяет шифры лишь в режиме аутентифицированного шифрования,в которм не нужно использовать MAC. Алгоритм шифрования и так гарантирует целостность данных.
  
  Если на сайте выявлены проблемы безопасности, необходимо обновить версию протокола TLS. Настройки будут отличаться для различных типов сервера. Например, чтобы прописать обновление версии TLS на сервере Nginx, необходимо сначала обновить его до последней версии и проверить версию OpenSSL — для TLS 1.3 нужны Nginx 1.14 и OpenSSL1.1.1 или выше, а затем внести изменения в файл конфигурации:
```
server < listen 443 ssl http2; listen [::]:443 ssl http2; server_name site.com; # RSA ssl_certificate /etc/letsencrypt/site.com/fullchain.cer; ssl_certificate_key /etc/letsencrypt/example.com/site.com.key; # ECDSA ssl_certificate /etc/letsencrypt/site.com_ecc/fullchain.cer; ssl_certificate_key /etc/letsencrypt/site.com_ecc/example.com.key; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256'; ssl_prefer_server_ciphers on; >
```
  Похожие публикации: