Apache 模組 mod_session_crypto

SessionCryptoCipher 指令

在加密過程中使用 SessionCryptoCipher 指令允許使用密碼。如果未指定，密碼預設為 aes256。

可能的數值取決於所使用的加密驅動程式，可以為下列其中一個：

• 3des192
• aes128
• aes192
• aes256

SessionCryptoDriver 指令

SessionCryptoDriver 指令指定用於加密的加密驅動程式名稱。如果未指定，驅動程式預設為編譯在 APR-util 中的建議驅動程式。

NSS 加密驅動程式需要一些設定參數，且在驅動程式名稱後面以可選值參數指定。

SessionCryptoDriver nss

SessionCryptoDriver nss dir=certs

SessionCryptoDriver nss dir=certs key3=key3.db cert7=cert7.db secmod=secmod

SessionCryptoDriver nss "dir=My Certs" key3=key3.db cert7=cert7.db secmod=secmod

NSS 加密驅動程式可能已由伺服器其他部分設定，例如 `mod_nss` 或 mod_ldap。如果發現已設定，將會記錄警告，且現有設定將會生效。若要避免此警告，請按照下列範例使用 noinit 參數。

SessionCryptoDriver nss noinit

為避免混淆，請確定需要 NSS 的所有模組都使用相同的參數設定。

openssl 加密驅動程式支援一個可選參數，用於指定要使用在加密中的引擎。

SessionCryptoDriver openssl engine=name

SessionCryptoPassphrase 指令

SessionCryptoPassphrase 指令指定要使用的金鑰，以在寫入工作階段或在讀取工作階段後解密工作階段內容時啟用內容的對稱式加密。

金鑰長且包含真正隨機字元時安全性較高。變更伺服器上的金鑰會使所有現有工作階段失效。

可以指定多個金鑰以支援金鑰輪替。列出的第一個金鑰將用於加密，而列出的所有金鑰都將嘗試用於解密。要在一段時間內跨多個伺服器輪替金鑰，請在清單結尾新增一個新的機密，且在所有伺服器上完全推行後，從清單開頭移除第一個金鑰。

從版本 2.4.7 起，如果值開頭為 exec:，將執行產生的命令，並使用程式回傳到標準輸出的第一行作為金鑰。

#key used as-is
SessionCryptoPassphrase secret

#Run /path/to/program to get key
SessionCryptoPassphrase exec:/path/to/program

#Run /path/to/otherProgram and provide arguments
SessionCryptoPassphrase "exec:/path/to/otherProgram argument1"

SessionCryptoPassphraseFile 指令

SessionCryptoPassphraseFile 指令指定包含要使用於加密或解密工作階段的金鑰的設定檔名稱，每一行指定一個金鑰。伺服器啟動時會讀取該檔案，且 httpd 要選取金鑰的變更，需要進行優雅的重新啟動。

與 SessionCryptoPassphrase 指令不同，金鑰不會公開在 httpd 設定中，且可以透過適當地保護檔案來隱藏金鑰。

可以指定多個金鑰以支援金鑰輪替。列出的第一個金鑰將用於加密，而列出的所有金鑰都將嘗試用於解密。要在一段時間內跨多個伺服器輪替金鑰，請在清單結尾新增一個新的機密，且在所有伺服器上完全推行後，從清單開頭移除第一個金鑰。