NGINX 中的 Certbot 版本更新以删除 MacO 上的 TLS v1.0

Question

我当前的 cerbot 版本运行是：

certbot --version
certbot 0.27.1

我的 ngnix 有 TLS v1.0，但我不想再运行:

cat /etc/letsencrypt/options-ssl-nginx.conf
# This file contains important security parameters. If you modify this file
# manually, Certbot will be unable to automatically provide future security
# updates. Instead, Certbot will print and log an error message with a path to
# the up-to-date file that you will need to refer to when manually updating
# this file.

ssl_session_cache shared:le_nginx_SSL:1m;
ssl_session_timeout 1440m;

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;

ssl_ciphers "ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS";

这些由 certbot 管理，经过一些研究后我发现最新版本的 certbot 没有 tls v1.0
现在我不知道如何更新 certbot 版本..需要帮助

Answer 1

Certbot 使用配置文件来跟踪它使用的所有设置，或者至少记录非默认设置。有关这方面的信息，请参阅 here。但是，更新 certbot 本身可能就足够了，因为我相信最近的版本默认情况下已禁用 1.0 和 1.1。

老实说，我也会删除 TLS 1.1，它也有已知问题。 1.2还是安全的。唯一不这样做的原因是客户仍在使用 1.1，目前这种可能性很小。事实上，所有主流浏览器都完全放弃了对 1.0 和 1.1 的支持。 ~2013 年浏览器不再支持 TLS 1.2，因此您需要支持它的可能性不大。

此外，我总是参考 this site，它会定期更新推荐的安全配置。即使是他们的中间配置也建议至少使用 TLS 1.2。

NGINX 中的 Certbot 版本更新以删除 MacO 上的 TLS v1.0

Certbot version update in NGNIX to remove TLS v1.0 on MacOs

ssl

nginx

tls1.2

lets-encrypt

certbot