nginx: ECDSA Zertifikat und moderne Cipher-Suiten
Nach dem Serverwechsel im Dezember war es an der Zeit veraltete TLS Cipher-Suiten auszumisten und von einem RSA-Zertifikat auf ein ECDSA-Zertifikat (auf Basis von Elliptic Curve Cryptography) umzusteigen.
Die aktuelle Konfiguration von nginx diesbezüglich:
ssl_protocols TLSv1.2; ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
Ich nutze ausschließlich TLS 1.2 und folge der Mozilla Empfehlung für Cipher-Suiten (Modern compatibility).
Da nginx erst ab Version 1.11.0 RSA- und ECDSA-Zertifikate gleichzeitig ausliefern kann, bin ich sowohl beim Blog, als auch beim Forum komplett auf ECDSA-Zertifikate umgestiegen.
Die Frage lautet nun, ob der Umstieg auf ECDSA-Zertifikate zu früh kommt bzw. wie es mit der (Abwärts-)Kompatibilität aussieht: Ganz vertretbar, wie ich finde.
Positiver Nebeneffekt: Irgendwelche gammeligen Bots oder Crawler, die aktuelle TLS-Cipher Suiten auf Basis von ECDHE-ECDSA nicht unterstützen, bekommen den TLS-Handshake nicht hin. Macht nichts, die hat sowieso keiner eingeladen.
Postfix: TLS-Konfiguration mit ECDSA- / RSA-Zertifikaten
NSA abhörsichere SSL-Verschlüsselung für Apache und nginx
Postfix: ECDSA / RSA-Keys und TLS-Konfiguration
ejabberd: Installation und Betrieb eines XMPP-Servers
