Настройка SSL сертификата на Nginx

от

«HTTPS больше не выбор, а обязательное требование. Самая частая ошибка — считать, что SSL/TLS решает всё. Под капотом остаются детали, которые напрямую влияют на соответствие требованиям регуляторов и устойчивость к атакам.»

Сценарий атаки: перехват данных в открытой сети

Сотрудник в аэропорту подключается к публичной Wi-Fi сети и заходит на корпоративный портал по HTTP. В этой же сети находится злоумышленник. Он не просто наблюдает трафик, а активно вмешивается в коммуникацию.

ARP-спуфинг и перехват сессии

Атакующий отправляет фальшивые ARP-пакеты, убеждая сетевые устройства, что его компьютер — это шлюз. Весь трафик сотрудника теперь направляется через машину злоумышленника. Используя инструменты для анализа трафика, атакующий видит все HTTP-запросы в открытом виде. Логин и пароль из формы авторизации становятся доступными.

Практические последствия

Получив доступ, злоумышленник может не только скачать базу клиентов, но и использовать учётные данные для дальнейшего продвижения в инфраструктуру — например, через VPN, если он настроен с той же учётной записью. Финансовые последствия таких утечек часто значительно выше прямого ущерба от данных, включая репутационные потери и штрафы регуляторов.

HTTPS с правильной настройкой SSL/TLS предотвращает перехват данных даже в скомпрометированных сетях.

Вывод: SSL/TLS — это не просто «зелёный замочек». Это фундаментальная технология, которая защищает целостность и конфиденциальность данных при передаче через ненадежные сети. Корректная настройка на Nginx закрывает один из самых распространённых векторов атак.

Введение в SSL/TLS для Nginx

Протокол TLS обеспечивает три ключевых свойства для безопасной связи:

Шифрование данных

Защищает передаваемую информацию от перехвата. Используемые алгоритмы шифрования должны соответствовать современным стандартам и требованиям регуляторов.

Аутентификация

Гарантирует, что пользователь соединяется именно с вашим сервером, а не с поддельным. Это достигается через цепочку доверия сертификатов.

Защита целостности

Предотвращает незаметное изменение данных во время передачи через цифровые подписи.

Для соответствия российским требованиям (например, 152-ФЗ) использование HTTPS для передачи персональных данных является обязательным. Браузеры также активно продвигают HTTPS, предупреждая пользователей о небезопасных сайтах.

Что потребуется для настройки

  • Установленный и работающий Nginx.
  • Доступ к серверу с правами администратора (root или sudo).
  • Доменное имя, зарегистрированное и правильно направленное (A-запись) на IP-адрес вашего сервера.
  • SSL-сертификат и соответствующий ему приватный ключ. Сертификат может быть выпущен как центром сертификации (например, от коммерческого провайдера или удостоверяющего центра), так и быть самоподписанным для внутренних задач.

Загрузка SSL файлов на сервер

Первым шагом является размещение файлов сертификата и ключа на сервере. Рекомендуется использовать отдельную директорию с ограниченным доступом, например, /etc/nginx/ssl.

Копирование файлов и настройка прав

rsync -av {privkey.pem,cert.pem} root@SERVER-IP:/etc/nginx/ssl/

После копирования критически важно правильно настроить права доступа, особенно для приватного ключа.

chown root:root /etc/nginx/ssl/privkey.pem
chmod 600 /etc/nginx/ssl/privkey.pem

Проверка корректности файлов

Перед использованием убедитесь, что файлы не повреждены и соответствуют друг другу.

Проверка содержимого сертификата

openssl x509 -in cert.pem -text -noout

Эта команда покажет издателя, срок действия, субъект и другие детали.

Проверка приватного ключа

openssl rsa -in privkey.pem -check

Совпадение ключа и сертификата

openssl x509 -in cert.pem -pubkey -noout | openssl md5
openssl rsa -in privkey.pem -pubout | openssl md5

Если хэш-суммы совпадают, ключ и сертификат являются парой. Несоответствие приведет к ошибкам при запуске Nginx.

схема, показывающая связь между приватным ключом, CSR и итоговым сертификатом от CA

Базовая настройка SSL в Nginx

Базовая конфигурация сводится к указанию путей к файлам и изменению порта в директиве listen.

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate /etc/nginx/ssl/cert.pem;
    ssl_certificate_key /etc/nginx/ssl/privkey.pem;
    location / {
        # Конфигурация location
    }
}

После добавления этих директив и перезагрузки конфигурации (nginx -t && systemctl reload nginx) сайт будет работать по HTTPS.

Расширенная настройка для соответствия стандартам безопасности

Базовая настройка обеспечивает шифрование, но часто не соответствует современным требованиям безопасности и рекомендациям регуляторов. Ниже приведены ключевые улучшения.

Выбор протоколов и алгоритмов шифрования

Старые протоколы SSLv2 и SSLv3 уязвимы. TLS 1.0 и 1.1 также считаются слабыми. Требуется явно указать разрешенные протоколы.

ssl_protocols TLSv1.2 TLSv1.3;

То же касается алгоритмов шифрования (ciphers). Следует использовать устойчивые современные наборы.

ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256...';
ssl_prefer_server_ciphers off;

Настройка параметров сессий

Параметры сессий влияют на производительность и безопасность. Короткий срок жизни сессии повышает безопасность, но может увеличивать нагрузку.

ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;

Дополнительные директивы для усиления защиты

Следующие директивы помогают защититься от известных атак, таких как BEAST и CRIME.

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

Директива ssl_stapling позволяет серверу предоставлять статус сертификата (OCSP), сокращая время проверки для клиента.

Перенаправление HTTP на HTTPS

Для полного перехода на HTTPS необходимо настроить автоматическое перенаправление всех HTTP-запросов.

server {
    listen 80;
    server_name example.com;
    return 301 https://$server_name$request_uri;
}

Настройка заголовков безопасности

Помимо настроек SSL, рекомендуется добавить заголовки, повышающие безопасность приложения.

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;

Заголовок HSTS особенно важен, так он предписывает браузеру всегда использовать HTTPS для данного домена.

Проверка конфигурации и тестирование

После внесения изменений всегда проверяйте конфигурацию перед её применением.

nginx -t

Если проверка прошла успешно, перезагрузите Nginx.

systemctl reload nginx

После этого используйте онлайн-инструменты или CLI утилиты для проверки качества и безопасности вашей реализации TLS.

Что дальше?

После успешной настройки SSL/TLS на Nginx рекомендуем выполнить следующие шаги:

  • Регулярно проверять сроки действия сертификатов и своевременно их обновлять.
  • Мониторить рекомендации по безопасности (например, от Mozilla или регуляторов) и адаптировать конфигурацию.
  • Рассмотреть реализацию двусторонней (mTLS) аутентификации для критически важных внутренних служб.
  • Проверить отсутствие смешанного контента (mixed content) на вашем сайте, когда HTTPS страницы загружают ресурсы по HTTP.

Грамотная настройка SSL/TLS — не конечная точка, а часть непрерывного процесса обеспечения безопасности инфраструктуры.

Загрузка…

Оставьте комментарий