Сильное шифрование SSL/TLS: совместимость
На этой странице рассматривается обратная совместимость между mod_ssl и другими решениями SSL. mod_ssl — не единственное решение SSL для Apache; доступны (или были доступны) ещё четыре продукта: свободно распространяемый продукт Бена Лори Apache-SSL (от которого mod_ssl изначально был создан в 1998 году), коммерческий Secure Web Server компании Red Hat (основанный на mod_ssl), коммерческий модуль Raven SSL Module компании Covalent (также основанный на mod_ssl) и, наконец, коммерческий продукт компании C2Net (ныне Red Hat) Stronghold (основанный на другой ветви развития, называвшейся Sioux вплоть до Stronghold 2.x и основанный на mod_ssl начиная с Stronghold 3.x).
mod_ssl в основном предоставляет надмножество возможностей всех остальных решений, поэтому перейти с одного из старых модулей на mod_ssl несложно. Директивы конфигурации и имена переменных среды, используемые старыми решениями SSL, отличаются от используемых в mod_ssl; здесь приведены таблицы соответствий директивам и переменным в mod_ssl.
Директивы конфигурации
Соответствие директив конфигурации, используемых в Apache-SSL 1.x и mod_ssl 2.0.x, приведено в таблице 1. Соответствие для Sioux 1.x и Stronghold 2.x приведено лишь частично, поскольку эти интерфейсы предоставляют специальные возможности, отсутствующие в mod_ssl.
Таблица 1: соответствие директив конфигурации
| Старая директива | Директива mod_ssl | Примечание |
|---|---|---|
| Совместимость Apache-SSL 1.x и mod_ssl 2.0.x: | ||
SSLEnable |
SSLEngine on |
объединена |
SSLDisable |
SSLEngine off |
объединена |
SSLLogFile file
|
Вместо этого используйте настройку LogLevel для каждого модуля. |
|
SSLRequiredCiphers spec
|
SSLCipherSuite spec
|
переименована |
SSLRequireCipher c1 ... |
SSLRequire %{SSL_CIPHER} in {"c1", ...}
|
обобщена |
SSLBanCipher c1 ... |
SSLRequire not (%{SSL_CIPHER} in {"c1", ...})
|
обобщена |
SSLFakeBasicAuth |
SSLOptions +FakeBasicAuth |
объединена |
SSLCacheServerPath dir
|
- | функциональность удалена |
SSLCacheServerPort integer
|
- | функциональность удалена |
| Совместимость с Apache-SSL 1.x: | ||
SSLExportClientCertificates |
SSLOptions +ExportCertData |
объединена |
SSLCacheServerRunDir dir
|
- | функциональность не поддерживается |
| Совместимость с Sioux 1.x: | ||
SSL_CertFile file
|
SSLCertificateFile file
|
переименована |
SSL_KeyFile file
|
SSLCertificateKeyFile file
|
переименована |
SSL_CipherSuite arg
|
SSLCipherSuite arg
|
переименована |
SSL_X509VerifyDir arg
|
SSLCACertificatePath arg
|
переименована |
SSL_Log file
|
- |
Вместо этого используйте настройку LogLevel для каждого модуля. |
SSL_Connect flag
|
SSLEngine flag
|
переименована |
SSL_ClientAuth arg
|
SSLVerifyClient arg
|
переименована |
SSL_X509VerifyDepth arg
|
SSLVerifyDepth arg
|
переименована |
SSL_FetchKeyPhraseFrom arg
|
- | не имеет прямого соответствия; используйте SSLPassPhraseDialog |
SSL_SessionDir dir
|
- | не имеет прямого соответствия; используйте SSLSessionCache |
SSL_Require expr
|
- | не имеет прямого соответствия; используйте SSLRequire |
SSL_CertFileType arg
|
- | функциональность не поддерживается |
SSL_KeyFileType arg
|
- | функциональность не поддерживается |
SSL_X509VerifyPolicy arg
|
- | функциональность не поддерживается |
SSL_LogX509Attributes arg
|
- | функциональность не поддерживается |
| Совместимость с Stronghold 2.x: | ||
StrongholdAccelerator engine
|
SSLCryptoDevice engine
|
переименована |
StrongholdKey dir
|
- | функциональность не требуется |
StrongholdLicenseFile dir
|
- | функциональность не требуется |
SSLFlag flag
|
SSLEngine flag
|
переименована |
SSLSessionLockFile file
|
SSLMutex file
|
переименована |
SSLCipherList spec
|
SSLCipherSuite spec
|
переименована |
RequireSSL |
SSLRequireSSL |
переименована |
SSLErrorFile file
|
- | функциональность не поддерживается |
SSLRoot dir
|
- | функциональность не поддерживается |
SSL_CertificateLogDir dir
|
- | функциональность не поддерживается |
AuthCertDir dir
|
- | функциональность не поддерживается |
SSL_Group name
|
- | функциональность не поддерживается |
SSLProxyMachineCertPath dir
|
SSLProxyMachineCertificatePath dir
|
переименована |
SSLProxyMachineCertFile file
|
SSLProxyMachineCertificateFile file
|
переименована |
SSLProxyCipherList spec
|
SSLProxyCipherSpec spec
|
переименована |
Переменные среды
Соответствие имён переменных среды, используемых в старых решениях SSL, именам, используемым в mod_ssl, приведено в таблице 2.
Таблица 2: соответствие переменных среды
| Старая переменная | Переменная mod_ssl | Примечание |
|---|---|---|
SSL_PROTOCOL_VERSION |
SSL_PROTOCOL |
переименована |
SSLEAY_VERSION |
SSL_VERSION_LIBRARY |
переименована |
HTTPS_SECRETKEYSIZE |
SSL_CIPHER_USEKEYSIZE |
переименована |
HTTPS_KEYSIZE |
SSL_CIPHER_ALGKEYSIZE |
переименована |
HTTPS_CIPHER |
SSL_CIPHER |
переименована |
HTTPS_EXPORT |
SSL_CIPHER_EXPORT |
переименована |
SSL_SERVER_KEY_SIZE |
SSL_CIPHER_ALGKEYSIZE |
переименована |
SSL_SERVER_CERTIFICATE |
SSL_SERVER_CERT |
переименована |
SSL_SERVER_CERT_START |
SSL_SERVER_V_START |
переименована |
SSL_SERVER_CERT_END |
SSL_SERVER_V_END |
переименована |
SSL_SERVER_CERT_SERIAL |
SSL_SERVER_M_SERIAL |
переименована |
SSL_SERVER_SIGNATURE_ALGORITHM |
SSL_SERVER_A_SIG |
переименована |
SSL_SERVER_DN |
SSL_SERVER_S_DN |
переименована |
SSL_SERVER_CN |
SSL_SERVER_S_DN_CN |
переименована |
SSL_SERVER_EMAIL |
SSL_SERVER_S_DN_Email |
переименована |
SSL_SERVER_O |
SSL_SERVER_S_DN_O |
переименована |
SSL_SERVER_OU |
SSL_SERVER_S_DN_OU |
переименована |
SSL_SERVER_C |
SSL_SERVER_S_DN_C |
переименована |
SSL_SERVER_SP |
SSL_SERVER_S_DN_SP |
переименована |
SSL_SERVER_L |
SSL_SERVER_S_DN_L |
переименована |
SSL_SERVER_IDN |
SSL_SERVER_I_DN |
переименована |
SSL_SERVER_ICN |
SSL_SERVER_I_DN_CN |
переименована |
SSL_SERVER_IEMAIL |
SSL_SERVER_I_DN_Email |
переименована |
SSL_SERVER_IO |
SSL_SERVER_I_DN_O |
переименована |
SSL_SERVER_IOU |
SSL_SERVER_I_DN_OU |
переименована |
SSL_SERVER_IC |
SSL_SERVER_I_DN_C |
переименована |
SSL_SERVER_ISP |
SSL_SERVER_I_DN_SP |
переименована |
SSL_SERVER_IL |
SSL_SERVER_I_DN_L |
переименована |
SSL_CLIENT_CERTIFICATE |
SSL_CLIENT_CERT |
переименована |
SSL_CLIENT_CERT_START |
SSL_CLIENT_V_START |
переименована |
SSL_CLIENT_CERT_END |
SSL_CLIENT_V_END |
переименована |
SSL_CLIENT_CERT_SERIAL |
SSL_CLIENT_M_SERIAL |
переименована |
SSL_CLIENT_SIGNATURE_ALGORITHM |
SSL_CLIENT_A_SIG |
переименована |
SSL_CLIENT_DN |
SSL_CLIENT_S_DN |
переименована |
SSL_CLIENT_CN |
SSL_CLIENT_S_DN_CN |
переименована |
SSL_CLIENT_EMAIL |
SSL_CLIENT_S_DN_Email |
переименована |
SSL_CLIENT_O |
SSL_CLIENT_S_DN_O |
переименована |
SSL_CLIENT_OU |
SSL_CLIENT_S_DN_OU |
переименована |
SSL_CLIENT_C |
SSL_CLIENT_S_DN_C |
переименована |
SSL_CLIENT_SP |
SSL_CLIENT_S_DN_SP |
переименована |
SSL_CLIENT_L |
SSL_CLIENT_S_DN_L |
переименована |
SSL_CLIENT_IDN |
SSL_CLIENT_I_DN |
переименована |
SSL_CLIENT_ICN |
SSL_CLIENT_I_DN_CN |
переименована |
SSL_CLIENT_IEMAIL |
SSL_CLIENT_I_DN_Email |
переименована |
SSL_CLIENT_IO |
SSL_CLIENT_I_DN_O |
переименована |
SSL_CLIENT_IOU |
SSL_CLIENT_I_DN_OU |
переименована |
SSL_CLIENT_IC |
SSL_CLIENT_I_DN_C |
переименована |
SSL_CLIENT_ISP |
SSL_CLIENT_I_DN_SP |
переименована |
SSL_CLIENT_IL |
SSL_CLIENT_I_DN_L |
переименована |
SSL_EXPORT |
SSL_CIPHER_EXPORT |
переименована |
SSL_KEYSIZE |
SSL_CIPHER_ALGKEYSIZE |
переименована |
SSL_SECKEYSIZE |
SSL_CIPHER_USEKEYSIZE |
переименована |
SSL_SSLEAY_VERSION |
SSL_VERSION_LIBRARY |
переименована |
SSL_STRONG_CRYPTO |
- |
Не поддерживается mod_ssl |
SSL_SERVER_KEY_EXP |
- |
Не поддерживается mod_ssl |
SSL_SERVER_KEY_ALGORITHM |
- |
Не поддерживается mod_ssl |
SSL_SERVER_KEY_SIZE |
- |
Не поддерживается mod_ssl |
SSL_SERVER_SESSIONDIR |
- |
Не поддерживается mod_ssl |
SSL_SERVER_CERTIFICATELOGDIR |
- |
Не поддерживается mod_ssl |
SSL_SERVER_CERTFILE |
- |
Не поддерживается mod_ssl |
SSL_SERVER_KEYFILE |
- |
Не поддерживается mod_ssl |
SSL_SERVER_KEYFILETYPE |
- |
Не поддерживается mod_ssl |
SSL_CLIENT_KEY_EXP |
- |
Не поддерживается mod_ssl |
SSL_CLIENT_KEY_ALGORITHM |
- |
Не поддерживается mod_ssl |
SSL_CLIENT_KEY_SIZE |
- |
Не поддерживается mod_ssl |
Пользовательские функции журнала
При включённом mod_ssl становятся доступны дополнительные функции для формата пользовательского журнала mod_log_config, описанного в справочной главе. Помимо функции формата расширения ``%{varname}x'', которая позволяет раскрывать любые переменные, предоставляемые любым модулем, для обратной совместимости доступна дополнительная функция криптографического формата ``%{name}c''. Реализованные на данный момент вызовы функций перечислены в таблице 3.
Таблица 3: криптографическая функция пользовательского журнала
| Вызов функции | Описание |
|---|---|
%...{version}c | Версия протокола SSL |
%...{cipher}c | Шифр SSL |
%...{subjectdn}c | Различающееся имя субъекта сертификата клиента |
%...{issuerdn}c | Различающееся имя издателя сертификата клиента |
%...{errcode}c | Ошибка проверки сертификата (числовое значение) |
%...{errstr}c | Ошибка проверки сертификата (строка) |
© 2018 The Apache Software Foundation
Licensed under the Apache License, Version 2.0.
https://httpd.apache.org/docs/2.4/en/ssl/ssl_compat.html
