NGINX的SSL TLS與Security Header的安全性強化

前一篇，在取得 NGINX 可用的憑證格式與套用後，就開始以 HTTPS 來連線與測試。但 nginx.conf 裡還有許多安全性設定值可以調整。

1. NGINX HTTP Server 組態
2. SSL/TLS 組態
3. Security Header 組態

為NGINX for Windows設定HTTPS的SSL/TLS憑證

故事是這樣，我們需要為NGINX（for Windows）服務加上 HTTPS 的 SSL/TLS 憑證。公司提供的是 .pfx 檔（PFX容器形式的憑證，PKCS#12格式），通常在 Windows Server/IIS Server 上使用沒什麼難度，一、匯入 .pfx 到 Windows Server；二、到 IIS Server 設定匯入 SSL/TLS 憑證。後來研究發現，NGINX 無法直接使用 .pfx 檔來設定，也是說需要轉換格式後才能提供 Linux Based 的應用程式來使用。

使用PowerShell快速確認TLS憑證資訊

看到黑大的自製網站 TLS 憑證 CLI 快速檢視工具，剛好我有點處理TLS憑證的經驗，也來獻醜一下。情境是這樣，在我們B2B資料交換系統上有許多第三方廠商的TLS憑證，想當然，這些TLS憑證用於資料交換加解密，因此很重要。現行規範是一年更新一次TLS憑證，但，就是有廠商會忘記通知我們更新TLS憑證。通常知道都是已經出事了。

停用不安全的TLS版本

最近不論內部或外部，慢慢都能看到停用TLS的資訊。順手整理一下相關資訊，以利未來要作業時可能參考。

請先參考黑大及官方文件：

• Windows 停用 TLS 1.0 之配套作業整理
• PowerShell 快速檢查 TLS 1.x 版本停用狀況
• 在 Windows 登錄中設定安全通道通訊協定

第一篇一定要注意，不要搞到設定之後連RDP都連不進伺服器就好笑了。