さくらVPSでサイトをSSL/TLS対応（CentOS 7 + Apache 2.4 + PHP 7.1）

yum install httpd だと、2017年1月現在は Apache 2.4.6 がインストールされてしまいます。ちょっと古すぎますし、 HTTP/2 に未対応など機能面でも不足感があるので、最新版をインストールします。

いいタイミングで、半月ほど前に書かれたばかりのCentOS7にApache2.4最新版をyum installする(w3g.jp)というブログ記事を見つけたので、ここを参考に最新の 2.4.25 をインストールしました。

PHP も最新の 7.1 系をインストールします。Remiリポジトリをインストールのうえ、 PHP 7.1.1 をインストールします。

• 上記のとおり、 php-mbstring などいくつかのパッケージを入れています。

その後、 /etc/php.ini を開いて設定を変更します。とくに mbstring 関係はセキュリティ的にも重要なので、徳丸浩さんの記事文字コードに起因する脆弱性を防ぐ「やや安全な」php.ini設定(www.tokumaru.org)を参考に変更します。

まずはファイアーウォールで 443 ポートを開放します。

で現状を確認したのち、開放。

次に証明書をインストールします。証明書は無料で使える Let's Encrypt のサービスを使いますが、設定は驚くほど簡単。基本的には「Let's Encrypt 総合ポータル」サイトのLet's Encrypt の使い方(letsencrypt.jp)に書かれた手順に従って Certbot パッケージをインストールし、いくつかのコマンドを打ち込むだけ。

さらに Apache の設定を行います。今回はバーチャルホストで運用することにしたので、 /etc/httpd/conf.d/vhost.conf を設定します。

<VirtualHost *:80>
    DocumentRoot /var/www/w0s.jp
    ServerName w0s.jp
    ErrorLog "/var/www/log/error.log"
    CustomLog "|/usr/sbin/rotatelogs /var/www/log/access/%Y%m%d.log 86400 540" combined

    <Directory "/var/www/w0s.jp">
        AllowOverride All
        Require all granted
    </Directory>

    RewriteEngine on
    RewriteCond %{HTTPS} off
    RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
</VirtualHost>

<VirtualHost *:443>
    DocumentRoot /var/www/w0s.jp
    ServerName w0s.jp
    ErrorLog "/var/www/log/error.log"
    CustomLog "|/usr/sbin/rotatelogs /var/www/log/access/%Y%m%d.log 86400 540" combined

    <Directory "/var/www/w0s.jp">
        AllowOverride All
        Require all granted
    </Directory>

    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/w0s.jp/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/w0s.jp/privkey.pem
    SSLProtocol all -SSLv2 -SSLv3
    SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!RC4
    SSLHonorCipherOrder On
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</VirtualHost>

<VirtualHost *:443> の中で SSLEngine on にしたうえで、 SSLCertificateFile と SSLCertificateKeyFile でサーバー証明書と秘密鍵のファイルを指定します。

SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/w0s.jp/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/w0s.jp/privkey.pem

とりあえずこの3つの設定で https 接続が可能になりますが、IPAが公開しているSSL/TLS暗号設定ガイドライン(www.ipa.go.jp)の「Appendix B：サーバ設定編」を参考に、さらにセキュリティを高める設定変更をします。

デフォルト設定だとRC4暗号が有効になっていましたが、RFC 7465(tools.ietf.org)でRC4 can no longer be seen as providing a sufficient level of security for TLS sessions.(tools.ietf.org)と書かれているように、TLSでの使用が禁止されているので、無効にします。具体的には、 /etc/httpd/conf.d/ssl.conf から SSLCipherSuite の記述をコピペして、末尾に :!RC4 を追記します。

次に、暗号スイートの選択をデフォルトのクライアント側からサーバー側で行うようにします。

さらに HSTS を設定します。有効期限は365日（31536000秒）を指定。

ここまで設定すると、 Qualys SSL Labs によるSSL Server Test(www.ssllabs.com)の測定で A+ 判定が取れました。

なお、アクセスログは /usr/sbin/rotatelogs を使って日ごとにファイルを分割して保存するようにしています。

最後に、 Let's Encrypt の証明書は有効期間が90日なので、自動更新の設定をします。

コマンドオプション --pre-hook と --post-hook は、証明書を更新する時に Apache が停止している必要があるための指定ですが、

とあるように、 Apache の再起動は証明書が更新されるときのみ行われるので、このコマンド自体は頻繁に実行しても問題ありません。

これを cron に設定。 root 権限が必要なので、 sudo ctontab から1日1回実行されるようにしました。