Risorsa per determinare le ramificazioni della disabilitazione di vari codici

2

Mi piacerebbe essere proattivo e disabilitare i codici deboli sui miei server web, come TLS_RSA_WITH_3DES_EDE_CBC_SHA. Tuttavia, mi preoccupo di escludere inavvertitamente utenti che fanno uso di sistemi meno recenti.

Esiste solo una buona risorsa che fornisce statistiche sulla% attuale degli utenti del browser che richiedono un codice specifico per connettersi tramite https?

In alternativa, c'è un modo per ottenere quell'informazione analizzando / elaborando la stringa dell'agente utente dai miei log del server?

    
posta Aheho 12.06.2017 - 23:35
fonte

2 risposte

3

Anche se non affronta in modo specifico gli approcci che chiedi, Test server Labs Qualys SSL emula il comportamento di un ampio numero di client e consente di vedere quali client non sarebbero in grado di comunicare con la configurazione corrente. In questo snip del grado corrente per security.stackexchange.com, puoi vedere che IE 6 / XP non è compatibile.

Puoi ruotare un sito di test allo scopo di sperimentare con diverse configurazioni e correlare ciò che impari contro gli agenti utente presenti nei tuoi registri prima di spostare la configurazione sul tuo sito live.

    
risposta data 13.06.2017 - 01:00
fonte
1

È sempre meglio vedere quale sarà l'impatto sul tuo traffico, dal momento che il supporto TLS varia tra diversi paesi, diversi tipi di attività commerciali, tra client mobili e desktop e varie altre popolazioni.

È possibile registrare le versioni TLS e le suite di crittografia utilizzate in httpd Apache e nginx . Dopo averlo fatto, attendi una settimana (o per quanto tempo ritieni necessario per ottenere una rappresentazione accurata del traffico del tuo sito) e poi puoi creare un rapporto delle richieste utilizzando le configurazioni che desideri disabilitare.

È importante ricordare che solo perché un client ha usato una particolare suite di cifratura, ciò non significa che ha a - possono cadere in un'altra suite di crittografia supportata se quella non è più consentita. Se vuoi provare a capirlo, estrai i programmi utente che stanno utilizzando la suite di crittografia a rischio, usa uno strumento per invertire il nome del cliente fuori dall'agent user, e quindi puoi testare usando quel client (supponendo che sia ben noto) per vedere cosa succede nel tuo ambiente di test.

    
risposta data 12.06.2017 - 23:54
fonte

Leggi altre domande sui tag