<-
Apache > Serveur HTTP > Documentation > Version 2.4 > Modules

Module Apache mod_ssl

Langues Disponibles:  en  |  fr 

Description:Chiffrement de haut niveau basé sur les protocoles Secure Sockets Layer (SSL) et Transport Layer Security (TLS)
Statut:Extension
Identificateur de Module:ssl_module
Fichier Source:mod_ssl.c

Sommaire

Ce module fournit le support SSL v3 et TLS v1 au serveur HTTP Apache. SSL v2 n'est plus supporté.

Ce module s'appuie sur OpenSSL pour fournir le moteur de chiffrement.

D'autres détails, discussions et exemples sont fournis dans la documentation SSL.

Directives

Sujets

top

Variables d'environnement

Ce module peut être configuré pour fournir aux espaces de nommage SSI et CGI de nombreux éléments d'informations concernant SSL par le biais de variables d'environnement supplémentaires. Par défaut, et pour des raisons de performances, ces informations ne sont pas fournies (Voir la directive SSLOptions StdEnvVars ci-dessous). Les variables générées se trouvent dans la table ci-dessous. Ces informations peuvent également être disponible sous des noms différents à des fins de compatibilité ascendante. Reportez-vous au chapitre Compatibilité pour plus de détails à propos des variables de compatibilité.

Nom de la variable : Type de valeur : Description :
HTTPS drapeau HTTPS est utilisé.
SSL_PROTOCOL chaîne La version du protocole SSL (SSLv3, TLSv1, TLSv1.1, TLSv1.2)
SSL_SESSION_ID chaîne L'identifiant de session SSL codé en hexadécimal
SSL_SESSION_RESUMED chaîne Session SSL initiale ou reprise. Note : plusieurs requêtes peuvent être servies dans le cadre de la même session SSL (initiale ou reprise) si les connexions persistantes (HTTP KeepAlive) sont utilisées
SSL_SECURE_RENEG chaîne true si la renégociation sécurisée est supportée, false dans le cas contraire
SSL_CIPHER chaîne Le nom de l'algorithme de chiffrement
SSL_CIPHER_EXPORT chaîne true si l'algorithme de chiffrement est un algorithme exporté
SSL_CIPHER_USEKEYSIZE nombre Nombre de bits de chiffrement (réellement utilisés)
SSL_CIPHER_ALGKEYSIZE nombre Nombre de bits de chiffrement (possible)
SSL_COMPRESS_METHOD chaîne Méthode de compression SSL négociée
SSL_VERSION_INTERFACE chaîne La version du programme mod_ssl
SSL_VERSION_LIBRARY chaîne La version du programme OpenSSL
SSL_CLIENT_M_VERSION chaîne La version du certificat client
SSL_CLIENT_M_SERIAL chaîne Le numéro de série du certificat client
SSL_CLIENT_S_DN chaîne Le DN sujet du certificat client
SSL_CLIENT_S_DN_x509 chaîne Elément du DN sujet du client
SSL_CLIENT_I_DN chaîne DN de l'émetteur du certificat du client
SSL_CLIENT_I_DN_x509 chaîne Elément du DN de l'émetteur du certificat du client
SSL_CLIENT_V_START chaîne Validité du certificat du client (date de début)
SSL_CLIENT_V_END chaîne Validité du certificat du client (date de fin)
SSL_CLIENT_V_REMAIN chaîne Nombre de jours avant expiration du certificat du client
SSL_CLIENT_A_SIG chaîne Algorithme utilisé pour la signature du certificat du client
SSL_CLIENT_A_KEY chaîne Algorithme utilisé pour la clé publique du certificat du client
SSL_CLIENT_CERT chaîne Certificat du client au format PEM
SSL_CLIENT_CERT_CHAIN_n chaîne Certificats de la chaîne de certification du client au format PEM
SSL_CLIENT_VERIFY chaîne NONE, SUCCESS, GENEROUS ou FAILED:raison
SSL_SERVER_M_VERSION chaîne La version du certificat du serveur
SSL_SERVER_M_SERIAL chaîne The serial of the server certificate
SSL_SERVER_S_DN chaîne DN sujet du certificat du serveur
SSL_SERVER_S_DN_x509 chaîne Elément du DN sujet du certificat du serveur
SSL_SERVER_I_DN chaîne DN de l'émetteur du certificat du serveur
SSL_SERVER_I_DN_x509 chaîne Elément du DN de l'émetteur du certificat du serveur
SSL_SERVER_V_START chaîne Validité du certificat du serveur (date de dédut)
SSL_SERVER_V_END chaîne Validité du certificat du serveur (date de fin)
SSL_SERVER_A_SIG chaîne Algorithme utilisé pour la signature du certificat du serveur
SSL_SERVER_A_KEY chaîne Algorithme utilisé pour la clé publique du certificat du serveur
SSL_SERVER_CERT chaîne Certificat du serveur au format PEM
SSL_SRP_USER chaîne nom d'utilisateur SRP
SSL_SRP_USERINFO chaîne informations sur l'utilisateur SRP
SSL_TLS_SNI string Contenu de l'extension SNI TLS (si supporté par ClientHello)

x509 spécifie un élément de DN X.509 parmi C,ST,L,O,OU,CN,T,I,G,S,D,UID,Email. A partir de la version 2.1 d'Apache, x509 peut aussi comporter un suffixe numérique _n. Si le DN en question comporte plusieurs attributs de noms identiques, ce suffixe constitue un index débutant à zéro et permettant de sélectionner un attribut particulier. Par exemple, si le DN sujet du certificat du serveur comporte deux champs OU, on peut utiliser SSL_SERVER_S_DN_OU_0 et SSL_SERVER_S_DN_OU_1 pour référencer chacun d'entre eux. Un nom de variable sans suffixe _n est équivalent au même nom avec le suffixe _0, ce qui correspond au premier attribut (ou au seul) caractérisant le DN. Lorsque la table d'environnement est remplie en utilisant l'option StdEnvVars de la directive SSLOptions, le premier attribut (ou le seul) caractérisant le DN est enregistré avec un nom sans suffixe ; autrement dit, aucune entrée possédant comme suffixe _0 n'est enregistrée.

Le format des variables *_DN a changé depuis la version 2.3.11 d'Apache HTTPD. Voir l'option LegacyDNStringFormat de la directive SSLOptions pour plus de détails.

SSL_CLIENT_V_REMAIN n'est disponible qu'à partir de la version 2.1.

Plusieurs variables d'environnement additionnelles peuvent être utilisées dans les expressions SSLRequire, ou dans les formats de journalisation personnalisés :

HTTP_USER_AGENT        PATH_INFO             AUTH_TYPE
HTTP_REFERER           QUERY_STRING          SERVER_SOFTWARE
HTTP_COOKIE            REMOTE_HOST           API_VERSION
HTTP_FORWARDED         REMOTE_IDENT          TIME_YEAR
HTTP_HOST              IS_SUBREQ             TIME_MON
HTTP_PROXY_CONNECTION  DOCUMENT_ROOT         TIME_DAY
HTTP_ACCEPT            SERVER_ADMIN          TIME_HOUR
THE_REQUEST            SERVER_NAME           TIME_MIN
REQUEST_FILENAME       SERVER_PORT           TIME_SEC
REQUEST_METHOD         SERVER_PROTOCOL       TIME_WDAY
REQUEST_SCHEME         REMOTE_ADDR           TIME
REQUEST_URI            REMOTE_USER

Dans ces contextes, deux formats spéciaux peuvent aussi être utilisés :

ENV:nom_variable
Correspond à la variable d'environnement standard nom_variable.
HTTP:nom_en-tête
Correspond à la valeur de l'en-tête de requête dont le nom est nom_en-tête.
top

Formats de journaux personnalisés

Lorsque mod_ssl est compilé dans le serveur Apache ou même chargé (en mode DSO), des fonctions supplémentaires sont disponibles pour le Format de journal personnalisé du module mod_log_config. A ce titre, la fonction de format d'eXtension ``%{nom-var}x'' peut être utilisée pour présenter en extension toute variable fournie par tout module, et en particulier celles fournies par mod_ssl et que vous trouverez dans la table ci-dessus.

A des fins de compatibilité ascendante, il existe une fonction de format cryptographique supplémentaire ``%{nom}c''. Vous trouverez toutes les informations à propos de cette fonction dans le chapitre Compatibilité.

Exemple

CustomLog logs/ssl_request_log "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"
top

Information à propos de la requête

mod_ssl enregistre des informations à propos de la requête que l'on peut restituer dans les journaux avec la chaîne de format %{nom}n via le module mod_log_config.

Les informations enregistrées sont les suivantes :

ssl-access-forbidden
Cette information contient la valeur 1 si l'accès a été refusé suite à une directive SSLRequire ou SSLRequireSSL.
ssl-secure-reneg
Si mod_ssl a été compilé avec une version d'OpenSSL qui supporte la renégociation sécurisée, si SSL est utilisé pour la connexion courante et si le client supporte lui aussi la renégociation sécurisée, cette information contiendra la valeur 1. Si le client ne supporte pas la renégociation sécurisée, l'information contiendra la valeur 0. Si mod_ssl n'a pas été compilé avec une version d'OpenSSL qui supporte la renégociation sécurisée, ou si SSL n'est pas utilisé pour la connexion courante, le contenu de l'information ne sera pas défini.
top

Fournisseurs d'autorisation disponibles avec Require

mod_ssl propose quelques fournisseurs d'autorisation à utiliser avec la directive Require du module mod_authz_core.

Require ssl

Le fournisseur ssl refuse l'accès si une connexion n'est pas chiffrée avec SSL. L'effet est similaire à celui de la directive SSLRequireSSL.

Require ssl

Require ssl-verify-client

Le fournisseur ssl autorise l'accès si l'utilisateur est authentifié via un certificat client valide. Ceci n'a un effet que si SSLVerifyClient optional est actif.

Dans l'exemple suivant, l'accès est autorisé si le client est authentifié via un certificat client ou par nom d'utilisateur/mot de passe :

      Require ssl-verify-client
Require valid-user
top

SSLCACertificateFile Directive

Description:Fichier contenant une concaténation des certificats de CA codés en PEM pour l'authentification des clients
Syntaxe:SSLCACertificateFile chemin-fichier
Contexte:configuration du serveur, serveur virtuel
Statut:Extension
Module:mod_ssl

Cette directive permet de définir le fichier tout-en-un où vous pouvez rassembler les certificats des Autorités de Certification (CAs) pour les clients auxquels vous avez à faire. On les utilise pour l'authentification des clients. Un tel fichier contient la simple concaténation des différents fichiers de certificats codés en PEM, par ordre de préférence. Cette directive peut être utilisée à la place et/ou en complément de la directive SSLCACertificatePath.

Exemple

SSLCACertificateFile /usr/local/apache2/conf/ssl.crt/ca-bundle-client.crt
top

SSLCACertificatePath Directive

Description:Répertoire des certificats de CA codés en PEM pour l'authentification des clients
Syntaxe:SSLCACertificatePath chemin-répertoire
Contexte:configuration du serveur, serveur virtuel
Statut:Extension
Module:mod_ssl

Cette directive permet de définir le répertoire où sont stockés les certificats des Autorités de Certification (CAs) pour les clients auxquels vous avez à faire. On les utilise pour vérifier le certificat du client au cours de l'authentification de ce dernier.

Les fichiers de ce répertoire doivent être codés en PEM et ils sont accédés via des noms de fichier sous forme de condensés ou hash. Il ne suffit donc pas de placer les fichiers de certificats dans ce répertoire : vous devez aussi créer des liens symboliques nommés valeur-de-hashage.N, et vous devez toujours vous assurer que ce répertoire contient les liens symboliques appropriés.

Exemple

SSLCACertificatePath /usr/local/apache2/conf/ssl.crt/
top

SSLCADNRequestFile Directive

Description:Fichier contenant la concaténation des certificats de CA codés en PEM pour la définition de noms de CA acceptables
Syntaxe:SSLCADNRequestFile chemin-fichier
Contexte:configuration du serveur, serveur virtuel
Statut:Extension
Module:mod_ssl

Lorsque mod_ssl demande un certificat client, une liste de noms d'Autorités de Certification acceptables est envoyée au client au cours de la phase d'initialisation de la connexion SSL. Le client peut alors utiliser cette liste de noms de CA pour sélectionner un certificat client approprié parmi ceux dont il dispose.

Si aucune des directives SSLCADNRequestPath</