隨著資安意識提升、 Google 把網站的 https 列為搜尋引擎的排行指標，越來越多的網站開始導入 https 以確保伺服器以及使用者端兩個端點之間的安全溝通，先前在 10 web server online https/ssl testing services 有列出了一些可以協助網管人員測試網頁伺服器安全性強度的服務(注意是”網頁伺服器”而不是”網頁應用程式”)，讓大家可以參考看看，其中 Qualys SSL Labs 的 SSL Server Test 算是近期非常熱門的一個測試跟服務，其測試報告以及評分標準算是非常簡單易懂，以截至目前為止(2015年10月25日)的最新版本”2009j (20 May 2015)“為例，給分主要從 A ~ F，Protocol support、Key exchange 及 Cipher strength 分別占總分的30%、30%及40%，相關的細節都可以在SSL Server Rating Guide (PDF) – Qualys SSL Labs 裡面找到，Qualys SSL Labs也提供了一份 SSL/TLS Deployment Best Practices Guide，但看起來近期沒更新就是了，停留在 Version 1.4 / 8 December 2014。
對於一些非網管或是相關背景的網站管理員來說，該如何有效的提升自己架設的伺服器安全性強度? 又如何改善各安全測試出來的分數? 由於最近有些人在問相關的問題，我找了一下發現好像沒有中文的資源在提供這方面的指南，所以決定野人獻曝一下稍微分享我知道的做法。另外必須說明的是，安全性跟方便性從以前到現在就是兩難，例如夠安全的密碼基本上都是由不同的元素以及夠長的長度組成，相對來講就會不好記，在伺服器安全性上的問題亦然，較好的安全性會使得 Windows XP，Java 6 的使用者受到影響，如果還有遇到這使用如此老舊軟體的使用者，還是勸他趕緊換個平台吧 …
開頭先說一個比較不影響這次評分 (https) 但大家可能也會想要處理的一塊，關於 Web server 的 response header 處理的部分，可以參考先前寫的 “用Apache/nginx&PHP架網站要注意的安全事項” ，將不必要的Server資訊隱藏起來，那接下來就講這次的重點，關於伺服器的安全性設定以及該如何提高分數！
閱讀全文