Come abilitare TLS 1.3 in Nginx

Transport Layer Security (TLS) 1.3 è l'ultima versione del protocollo Transport Layer Security (TLS), pubblicata come standard IETF in RFC 8446 nell'agosto 2018. Il protocollo TLS 1.3 fornisce miglioramenti della privacy e delle prestazioni rispetto alle versioni precedenti di TLS e non -HTTP sicuro.

Dalla versione 1.13.0, a Nginx è stato aggiunto il supporto per TLS 1.3. Attualmente, la maggior parte delle distribuzioni Linux non contiene le versioni richieste di Nginx e OpenSSL nei suoi repository software predefiniti, quindi probabilmente dovrai compilare tu stesso Nginx contro OpenSSL 1.1.1+. Le uniche distribuzioni Linux che hanno il supporto nativo per TLS 1.3 sono Ubuntu 18.10, Fedora 29 e Debian 10 (non ancora rilasciato ad oggi). Se hai bisogno di una guida su come compilare Nginx dal sorgente puoi seguire questo tutorial Howtoforge. In questo tutorial, supporrò che tu abbia già una configurazione TLS funzionante e che tu abbia compilato Nginx contro OpenSSL 1.1.1+ seguendo il mio tutorial collegato e sai come usare Let's Encrypt, oppure sai come emettere un certificato autofirmato.

Requisiti

Per abilitare TLS 1.3 in Nginx dovrai soddisfare i seguenti requisiti:

• Versione Nginx 1.13.0 o versioni successive create contro OpenSSL 1.1.1 o versioni successive.
• Un certificato TLS valido o autofirmato. Puoi ottenerne uno gratuito da Let's Encrypt.

Abilita TLS 1.3 in Nginx

Per abilitare TLS 1.3 in Nginx, aggiungi semplicemente TLSv1.3 parametro al ssl_protocols direttiva.

ssl_protocols TLSv1.2 TLSv1.3;

E ricarica la tua configurazione Nginx:

sudo systemctl reload nginx.service

Questo è tutto ciò che devi fare quando si tratta di configurare Nginx. Basta una semplice modifica e TLS 1.3 dovrebbe funzionare.

Ecco la configurazione minima del server virtuale per TLS 1.3 che può assomigliare a questa:

server {

  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;
  root /var/www/example.com/public;

  ssl_certificate /path/to/your/certificate.crt;
  ssl_certificate_key /path/to/your/private.key;

  ssl_protocols TLSv1.2 TLSv1.3;

}

Per verificare se il tuo server supporta TLS 1.3, puoi utilizzare gli strumenti di sviluppo del browser o il test del server SSLLabs. Di seguito sono riportati gli screenshot del browser Google Chrome che mostrano TLS 1.3 in azione.

E questo è tutto ciò che serve per abilitare TLS 1.3 sul tuo server Nginx.