Identifica e disabilita le suite di cifratura deboli

18

Un risultato della scansione di sicurezza prima della distribuzione di un'applicazione Web su Windows Server 2008 R2 ha generato il seguente messaggio:

Weak SSL Cipher Suites are Supported

Reconfigure the server to avoid the use of weak cipher suites. The configuration changes are server-specific.

SSLCipherSuite HIGH:MEDIUM:!MD5!EXP:!NULL:!LOW:!ADH

For Microsoft Windows Vista, Microsoft Windows 7, and Microsoft Windows Server 2008 remove the cipher suites that were identified as weak from the Supported Cipher Suite list by following these instructions:

http://msdn.microsoft.com/en-us/library/windows/desktop/bb870930(v=vs.85).aspx

Ho provato a capire le informazioni MSDN ma sono totalmente perso lì.

Prima di tutto, non capisco quale sia la suite di crittografia da rimuovere o disabilitare.

Allora come suppongo di eseguire il codice dato un esempio per rimuovere una suite di crittografia?

#include <stdio.h>
#include <windows.h>
#include <bcrypt.h>

void main()
{

SECURITY_STATUS Status = ERROR_SUCCESS;
  LPWSTR wszCipher = (L"TLS_RSA_WITH_RC4_128_SHA");

Status = BCryptRemoveContextFunction(
            CRYPT_LOCAL,
            L"SSL",
            NCRYPT_SCHANNEL_INTERFACE,
            wszCipher);
}
    
posta DonQi 09.01.2014 - 15:12
fonte

4 risposte

29

Capire quali suite di crittografia rimuovere può essere molto difficile. Per Windows, ho utilizzato lo strumento IIS Crypto gratuito in passato:

IIS Crypto is a free tool that gives administrators the ability to enable or disable
protocols, ciphers, hashes and key exchange algorithms on Windows Server 2003, 2008
and 2012. It also lets you reorder SSL/TLS cipher suites offered by IIS, implement
best practices with a single click and test your website.

Ciò non solo fa leva sulla conoscenza esperta di qualcuno per quanto riguarda gli algoritmi più o meno sicuri, ma si prende anche il compito di capire come implementare effettivamente il cambiamento in Windows (suggerimento: è un mucchio di voci di registro). / p>     

risposta data 09.01.2014 - 15:24
fonte
0

Per capire quali suite di crittografia rimuovere, per prima cosa ti indicherò la mia risposta a Ora che è il 2015 , quali suite di crittografia SSL / TLS dovrebbero essere utilizzate in un ambiente HTTPS ad alta sicurezza? per un rundown dettagliato.

La versione corta, corta, corta è:

  • Puoi continuare a disabilitare quelli che il tuo scanner odia uno alla volta finché lo scanner non smette di strillare come un maiale!
  • Puoi seguire le NIST SP131-52 revisione 1 linee guida, o altro guida fornita dal vostro governo o dagli organismi di regolamentazione del settore.
  • Puoi utilizzare ssllabs.com per continuare a testare il tuo server, seguendo i suoi consigli fino a quando non ottieni il punteggio che ti piace e rimuovi gli avvisi che non ti piacciono mi piace
risposta data 21.01.2015 - 05:07
fonte
0

La disabilitazione di cifrari deboli sembra essere eseguita in base alla configurazione dell'applicazione.

Una guida alle configurazioni di crittografia di Server Web e Proxy Server viene attivamente mantenuta di Hynek Schlawack (include Apache / httpd, nginx, HAProxy e note generali).

A partire dal 2015-01-16 la sua stringa "suite di crittografia" raccomandata è:

ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS

Credo che l'equivalente del tomcat sia [modifica: il mio elenco precedente non includeva alcuna cifra che funzionava con le versioni correnti di Firefox ]:

 ciphers="TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384,
          TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256,
          TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,
          TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,
          TLS_ECDH_RSA_WITH_AES_256_CBC_SHA384,
          TLS_DHE_RSA_WITH_AES_256_CBC_SHA256,
          TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256,
          TLS_DHE_RSA_WITH_AES_128_CBC_SHA256,
          TLS_RSA_WITH_AES_256_GCM_SHA384,
          TLS_RSA_WITH_AES_128_GCM_SHA256,
          TLS_RSA_WITH_AES_256_CBC_SHA256,
          TLS_RSA_WITH_AES_128_CBC_SHA256,
          TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
          TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
          TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,
          TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,
          TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,
          TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,
          TLS_DHE_RSA_WITH_AES_128_CBC_SHA,
          TLS_DHE_DSS_WITH_AES_128_CBC_SHA,
          TLS_DHE_RSA_WITH_AES_256_CBC_SHA,
          TLS_RSA_WITH_AES_128_CBC_SHA,
          TLS_RSA_WITH_AES_256_CBC_SHA,
          TLS_RSA_WITH_3DES_EDE_CBC_SHA,
          TLS_EMPTY_RENEGOTIATION_INFO_SCSV"

Formattazione da [Tomcat How To: SSL Ciphers] wiki.apache.org/tomcat/HowTo/SSLCiphers e cifrari disponibili da codice in esecuzione fornito da [email di Christopher Schultz] markmail.org/message/zn4namfhypyxum23.

    
risposta data 21.01.2015 - 04:55
fonte
-2

Ecco una buona lista che estrae i ciprelli rc4. Per usarlo abiliti l'ordine della suite di ciper nell'editor dei criteri di gruppo e incollalo tutto in.

TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA,SSL_CK_DES_192_EDE3_CBC_WITH_MD5,TLS_RSA_WITH_NULL_SHA256,TLS_RSA_WITH_NULL_SHA
    
risposta data 29.01.2015 - 16:58
fonte

Leggi altre domande sui tag