Здравствуй,
https://www.ssllabs.com/ssltest/analyze.html?d=ruggedinbox.com Отчет не является достаточно хорошим, вам следует указать более строгий шифр политика, чтобы иметь полный Forward Секретность. Roundcude небезопасно (многие частные эксплойты доступны), но мне нравится лучше, чем белки.
И, наконец, после регистрации, я не могу войти. (Возможно, вы не поддерживаете некоторые специальные символы в паролях, используется 21 длиной). С нормальной Форвард Секретностью самоподписанных сертификатами просто кусок бесполезного дерьма. Не забывайте не только выбрать длинные Dh парам / ключ, но изменить кривую по умолчанию, по крайней мере, больше одного (не знаю, возможно ли это или нет с Lighttpd).
Привет cryptofutureis, спасибо за ваши подробные предложения о SSL!
Следуя этому HOWTO (вперед секретности на Lighttpd):
https://raymii.org/s/tutorials/Strong_SSL_Security_On_lighttpd.htmlоценка повышается до А
с этими параметрами:
https://cipherli.stобщий рейтинг A +
https://www.ssllabs.com/ssltest/analyze.html?d=ruggedinbox.comлегко и очень полезно!
(Также, сегодня эти пакеты Debian: libssl-DEV libssl-док libssl1.0.0 libssl1.0.0: i386 OpenSSL были обновлены)
О пароле, мы сделали некоторые (ручные) тесты и недопустимые символы " (Цитата) и \ (обратный слэш ака «обратный солидус»)
так что вы можете иметь пароли типа `~! @ # $% ^&* () - = _ +} {[];»
а также ,./<>?
мы не тестировали символов, в любом случае единственный символ, который мы действительно полоса является " (Цитата)
О Roundcube, теперь, когда вы говорите, что (0-день эксплуатирует доступны вокруг), вы дали нам дополнительную мотивацию, чтобы настроить икру-FCGI изолировать виртуальные хосты (так взлома RoundCube не приведет иметь доступ ко всему документу корень веб-сервер) .. мы сделаем это как следующую вещь.
Благодарю Вас за отзыв и счастливой рассылку!