Xoops 網站從原先sslforfree憑證改用公用憑證的安裝步驟

主題一：Xoops 網站從http改為https的步驟

主題二：Xoops網站經 SSL 檢測後，需要做的補強

主題三：如何符合資安法規定Apche2 需升級到2.4.47以上版本但原本xoops網站功能依舊

主題四：Xoops 網站從原先sslforfree憑證改用公用憑證的安裝步驟

壹、第一次設定：

自縣網中心取得檔案，其檔案內容如下圖：

一、下載與解壓縮eCA1_GTLSCA.zip，取得eCA1_GTLSCA.crt

$wget https://gtlsca.nat.gov.tw/download/eCA1_GTLSCA.zip

$unzip eCA1_GTLSCA.zip

二、變更已下載簽發之 SSL 伺服器軟體憑證(*.cer)檔名為server.cer

$mv 3E0F555985B24E84092C96C1762173B4.cer server.cer

三、將SSL伺服軟體憑證由DER編碼格式轉換成PEM編碼格式

$openssl x509 -in server.cer -inform DER -out server.crt

四、整合server.crt eCA1_GTLSCA.crt 為 server-chain.crt，再更名為server.crt

$cat server.crt eCA1_GTLSCA.crt > server-chain.crt

$mv server-chain.crt server.crt

五、將server.crt  與 myserver.key 分別複製到 /etc/ssl 與 /etc/ssl/private

目前只需要兩個檔案，分別是server.crt  與 myserver.key

將server.crt  與 myserver.key 分別複製到 /etc/ssl 與 /etc/ssl/private。即

server.crt         --->    /etc/ssl

myserver.key  --->    /etc/ssl/private

其指令如下：

$mv server.crt  /etc/ssl

$mv myserver.key  /etc/ssl/private

六、修改default-ssl.conf 與 000-default.conf

檔案名稱default-ssl.conf

檔案修改內容：

SSLEngine on

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1

SSLCipherSuite EECDH+AES128:EECDH+AES256:EECDH+CAMELLIA:!ECDSA:!MD5

SSLHonorCipherOrder on

SSLCertificateFile  /etc/ssl/server.crt

SSLCertificateKeyFile  /etc/ssl/private/myserver.key

將原先的設定作註解

                # SSLCertificateFile /etc/ssl/certificate.crt

                # SSLCertificateKeyFile /etc/ssl/private/private.key

                # SSLCertificateChainFile  /etc/ssl/ca_bundle.crt

整個狀況如下圖：

檔案名稱000-default.conf

檔案修改內容：

將原先的設定作註解

# Redirect permanent / https://abc.def.ghi.tw

其內容如下：

七、重啟Apache2

$sudo service apache2 restart

貳、日後處理

一、將縣網中心取得的檔案送至 /home/webadmin/PublicCert

二、修改CertReplacement.sh 黃色部分名稱

三、執行CertReplacement.sh

檔案名稱：CertReplacement.sh

檔案內容：

#!/bin/bash

wget https://gtlsca.nat.gov.tw/download/eCA1_GTLSCA.zip

unzip eCA1_GTLSCA.zip

mv 3E0F555985B24E84092C96C1762173B4.cer server.cer

openssl x509 -in server.cer -inform DER -out server.crt

cat server.crt eCA1_GTLSCA.crt > server-chain.crt

mv server-chain.crt server.crt

mv server.crt  /etc/ssl

mv myserver.key  /etc/ssl/private

service apache2 restart

資料來源：

1.https://gca.nat.gov.tw/download/GCA_Apache_CSR_and_INSTALL.pdf