Aggiornamento Nmap - Indicazione di intensità del ciper SSL / TLS

Question

Aggiornamento Nmap - Indicazione di intensità del ciper SSL / TLS

#1 da (5 voti)
#2 da (2 voti)

5

Precedentemente con nmap ho trovato facile comprendere i punti di forza dei codici indicati dallo strumento (strong, debole ...)

Tuttavia questo è ora cambiato in un rating di A-F. Che cosa significa e perché hanno apportato questo cambiamento?

Di seguito è riportato un esempio dell'output dello strumento

|  TLSv1.2: 
|     ciphers: 
|       TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA (dh 1024) - D
|       TLS_DHE_RSA_WITH_AES_128_CBC_SHA (dh 1024) - A
|       TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 (dh 1024) - A
|       TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (dh 1024) - A
|       TLS_DHE_RSA_WITH_AES_256_CBC_SHA (dh 1024) - A
|       TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 (dh 1024) - A
|       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 1024) - A
|       TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA (dh 1024) - A
|       TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA (dh 1024) - A
|       TLS_DHE_RSA_WITH_SEED_CBC_SHA (dh 1024) - A
|       TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (secp384r1) - C
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (secp384r1) - A
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (secp384r1) - A
|       TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (secp384r1) - A
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (secp384r1) - A
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (secp384r1) - A
|       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (secp384r1) - A
|       TLS_ECDHE_RSA_WITH_RC4_128_SHA (secp384r1) - A
|       TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA - F
|       TLS_ECDH_anon_WITH_AES_128_CBC_SHA - F
|       TLS_ECDH_anon_WITH_AES_256_CBC_SHA - F
|       TLS_ECDH_anon_WITH_RC4_128_SHA - F
|       TLS_RSA_WITH_3DES_EDE_CBC_SHA (rsa 4096) - C
|       TLS_RSA_WITH_AES_128_CBC_SHA (rsa 4096) - A
|       TLS_RSA_WITH_AES_128_CBC_SHA256 (rsa 4096) - A
|       TLS_RSA_WITH_AES_128_GCM_SHA256 (rsa 4096) - A
|       TLS_RSA_WITH_AES_256_CBC_SHA (rsa 4096) - A
|       TLS_RSA_WITH_AES_256_CBC_SHA256 (rsa 4096) - A
|       TLS_RSA_WITH_AES_256_GCM_SHA384 (rsa 4096) - A
|       TLS_RSA_WITH_CAMELLIA_128_CBC_SHA (rsa 4096) - A
|       TLS_RSA_WITH_CAMELLIA_256_CBC_SHA (rsa 4096) - A
|       TLS_RSA_WITH_IDEA_CBC_SHA (rsa 4096) - A
|       TLS_RSA_WITH_RC4_128_MD5 (rsa 4096) - A
|       TLS_RSA_WITH_RC4_128_SHA (rsa 4096) - A
|       TLS_RSA_WITH_SEED_CBC_SHA (rsa 4096) - A

tls nmap

posta Lucian Nitescu 16.03.2016 - 14:21

fonte

2 risposte

2

Con il vecchio sistema, dovevamo mantenere una codifica statica di suite di codifica di file per le valutazioni di resistenza e la decisione di mappatura non era molto trasparente: dovevi semplicemente fidarti di noi (gli sviluppatori di Nmap) sui punti di forza. Inoltre, non c'era modo di incorporare informazioni critiche come la dimensione dei parametri DH o la lunghezza della chiave RSA. Abbiamo deciso di incorporare un sistema di punteggio dinamico, basato sul punteggio Qualys SSL Labs . La voce changelog per Nmap 6.49BETA1 dice:

[NSE] Rework ssl-enum-ciphers to actually score the strength of the SSL/TLS handshake, including certificate key size and DH parameters if applicable. This is similar to Qualys's SSL Labs scanner, and means that we no longer maintain a list of scores per ciphersuite. [Daniel Miller]

Se hai una F, la tua configurazione è fondamentalmente rotta e offre una sicurezza trascurabile.

Altre modifiche importanti:

Supporto per record frammentati, strane limitazioni della stretta di mano e numeri di porta non tipici.
Segnalazione del nome della curva ellittica utilizzato.
Ordinamento delle cifre in base alle preferenze del server, se pertinente.
Avvisi per errate configurazioni SSL quali certificati firmati MD5, parametri DH temporali di bassa qualità e vulnerabilità di POODLE.

risposta data 16.03.2016 - 22:59

fonte

Leggi altre domande sui tag tls nmap

Effective File Integrity Monitoring (FIM) Con Ubuntu su Windows 10, potrebbero sfruttare exploit e malware che funzionano su Ubuntu (o relative distro) su Windows?

score 5 · Accepted Answer

Per la documentazione di nmap per lo script SSL-enum-ciphers, il punteggio AF è inteso essere un'indicazione della qualità della cifra (con A è la migliore valutazione e F la peggiore.

Per quanto riguarda il motivo del loro cambiamento, penso che avresti bisogno di chiedere al relativo sviluppatore (c'è un indirizzo e-mail su quella pagina di documentazione che ho collegato) se vuoi saperlo.