一段filezilla連上ftp server的log …
(123,123,123,123和111.111.111.111是馬賽克後的IP)
狀態: TLS connection established.
狀態: 已連線
狀態: 正在取得目錄列表…
指令: PWD
回應: 257 “/” is your current location
指令: TYPE I
回應: 200 TYPE is now 8-bit binary
指令: PORT 127,0,0,1,211,129
回應: 500 I won’t open a connection to 127.0.0.1 (only to 111.111.111.111)
指令: PASV
回應: 227 Entering Passive Mode (123,123,123,123,9,242)
不知道是不是bug，在主動模式FTP裡面filezilla預設是跟系統問自己用的IP，卻要到了 127.0.0.1 … 難怪連不上去 ~”~
隨著資安意識提升、 Google 把網站的 https 列為搜尋引擎的排行指標，越來越多的網站開始導入 https 以確保伺服器以及使用者端兩個端點之間的安全溝通，先前在 10 web server online https/ssl testing services 有列出了一些可以協助網管人員測試網頁伺服器安全性強度的服務(注意是”網頁伺服器”而不是”網頁應用程式”)，讓大家可以參考看看，其中 Qualys SSL Labs 的 SSL Server Test 算是近期非常熱門的一個測試跟服務，其測試報告以及評分標準算是非常簡單易懂，以截至目前為止(2015年10月25日)的最新版本”2009j (20 May 2015)“為例，給分主要從 A ~ F，Protocol support、Key exchange 及 Cipher strength 分別占總分的30%、30%及40%，相關的細節都可以在SSL Server Rating Guide (PDF) – Qualys SSL Labs 裡面找到，Qualys SSL Labs也提供了一份 SSL/TLS Deployment Best Practices Guide，但看起來近期沒更新就是了，停留在 Version 1.4 / 8 December 2014。
對於一些非網管或是相關背景的網站管理員來說，該如何有效的提升自己架設的伺服器安全性強度? 又如何改善各安全測試出來的分數? 由於最近有些人在問相關的問題，我找了一下發現好像沒有中文的資源在提供這方面的指南，所以決定野人獻曝一下稍微分享我知道的做法。另外必須說明的是，安全性跟方便性從以前到現在就是兩難，例如夠安全的密碼基本上都是由不同的元素以及夠長的長度組成，相對來講就會不好記，在伺服器安全性上的問題亦然，較好的安全性會使得 Windows XP，Java 6 的使用者受到影響，如果還有遇到這使用如此老舊軟體的使用者，還是勸他趕緊換個平台吧 …
開頭先說一個比較不影響這次評分 (https) 但大家可能也會想要處理的一塊，關於 Web server 的 response header 處理的部分，可以參考先前寫的 “用Apache/nginx&PHP架網站要注意的安全事項” ，將不必要的Server資訊隱藏起來，那接下來就講這次的重點，關於伺服器的安全性設定以及該如何提高分數！
閱讀全文http/2.0 will need encryption, also Google says HTTPS is a ranking signal – https://www.peterdavehello.org/2014/08/google-https-as-a-ranking-signal/, after set up https on our websever, what should we do next? It’s to confirm and make sure the cer and configure is safe enough to prevent from attack, here are some online testing service to help you confirm your cert and config on your webserver.
SSL Server Test by Qualys, Inc. SSL LABS (supports IPv6):
https://www.ssllabs.com/ssltest/
SSL Checker – SSL Certificate Verify:
https://www.sslshopper.com/ssl-checker.html
FairSSL BlueSSL Online Server SSL Test:
https://www.fairssl.se/en/ssltest
Some online continuous integration services for free, it’s very important for free and open source project.
Free plan for open source project only:
