Apache HTTP Server 怎么解决弱密码套件导致的扫描漏洞警告-Apache-PHP中文网

apache“弱密码套件”告警本质是服务器允许使用已被淘汰的加密算法，解决关键是禁用不安全协议（sslv2–tlsv1.1）、显式配置强套件（如ecdhe+aes-gcm）、启用sslhonorcipherorder、更新dh参数并验证生效。

apache http server 出现“弱密码套件”扫描告警，本质是 tls 握手时服务器允许使用已被淘汰或易被破解的加密算法（如 ssl_rsa_with_rc4_128_md5、tls_ecdhe_rsa_with_3des_ede_cbc_sha、tls_rsa_with_aes_128_cbc_sha 等），攻击者可借此降级连接、实施中间人窃听甚至解密流量。解决的关键不是“关掉ssl”，而是精准筛选并强制启用现代、强健的密码套件。

确认当前启用的密码套件

先验证实际生效的配置，避免盲目修改：

运行命令查看 Apache 实际加载的 SSL 密码列表：
openssl s_client -connect your-domain.com:443 -tls1_2（加 -tls1_3 可查 TLS 1.3 套件）；观察输出中 Cipher is 行显示的实际套件
或使用在线工具如 SSL Labs Test 全面评估，它会明确标出哪些套件被判定为“Weak”或“Insecure”

在 SSL 配置中显式指定强密码套件

编辑 Apache 的 HTTPS 虚拟主机配置（通常在 ssl.conf 或站点 <virtualhost></virtualhost> 块内），添加或更新以下指令：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

禁用不安全协议版本：确保只启用 TLS 1.2 和 TLS 1.3
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
设置强密码套件顺序：优先 ECDHE 密钥交换 + AES-GCM 或 ChaCha20 加密 + SHA-256/SHA-384 摘要
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
强制服务端选择最优套件（防止客户端强制降级）：
SSLHonorCipherOrder on
启用 TLS 1.3（推荐）：若 Apache ≥ 2.4.37 且 OpenSSL ≥ 1.1.1，直接启用：
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2（仅留 TLSv1.3），并确保 SSLCipherSuite 中包含 TLS 1.3 套件（现代 OpenSSL 默认已支持）

补充关键加固项（防绕过、提兼容性）

仅改密码套件不够，还需配套措施确保策略真正落地：

禁用不安全密钥交换参数：删除或替换旧 DH 参数文件，避免 Logjam 类攻击。生成新参数：
openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048，然后在配置中引用：
SSLOptions +StrictRequire 和 SSLDHParametersFile /etc/ssl/certs/dhparam.pem
启用 HSTS 头：强制浏览器只走 HTTPS，防止 SSL 剥离：
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"（需加载 mod_headers）
检查模块依赖：确认 mod_ssl 已启用，且 mod_headers（用于 HSTS）和 mod_ssl 版本匹配。运行 apachectl -M | grep ssl 验证

验证与回滚准备

修改后必须验证，且保留快速恢复能力：

语法检查：apachectl configtest，无报错再重启：systemctl reload apache2（或 httpd）
用 curl -I https://your-domain.com 检查响应头是否含 Strict-Transport-Security
用 openssl s_client 或 SSL Labs 再次扫描，确认“Weak cipher suites”告警消失，且所有测试项为绿色
备份原始配置文件（如 ssl.conf.bak），遇到兼容性问题（如老 IE 访问失败）可快速切回，并针对性放宽套件（例如临时加入 ECDHE-RSA-AES128-SHA），而非放弃整体加固