Quali ciphersuites supporta Java 6 fuori dagli schemi che non sono interrotti?

Question

Quali ciphersuites supporta Java 6 fuori dagli schemi che non sono interrotti?

#1 da (3 voti)

2

Ho un'applicazione legacy che si trova su Java 6 (!), e parla con Apache 2.2.15 su RHEL 6.4.

(Un aggiornamento per Java 6 è sulle carte, ma non prima di go-live date.)

Abbiamo pentest fallisce per una debole configurazione TLS, quindi voglio trovare la migliore suite di crittografia supportata da Java 6 e Apache, senza alcuna modifica, ad es. nessuna aggiunta di provider di crittografia a Java.

Ho esaminato il Client Hello proveniente dall'app Java e, dopo aver rimosso le suite che so che non riuscirò a ottenere (grado di esportazione, RC4, ecc.), questo è ciò che mi rimane:

TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_DHE_RSA_WITH_AES_128_CBC_SHA
TLS_DHE_RSA_WITH_AES_256_CBC_SHA
TLS_DHE_DSS_WITH_AES_128_CBC_SHA
TLS_DHE_DSS_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA

Tieni presente che ho solo un client per supportare questo, quindi una suite di crittografia che sia supportata da entrambi i lati sarà sufficiente.

Mi rendo conto che potrebbe non esserci una risposta chiara a questo, quindi qualsiasi consiglio è apprezzato.

java apache tls cipher-selection

posta gtmcclinton 20.11.2015 - 12:06

fonte

1 risposta

Leggi altre domande sui tag java apache tls cipher-selection

Chrome / FF non negozia i codici avanzati? Wordpress: è necessario un plug-in per il rilevamento dei virus?

score 3 · Accepted Answer

Tendo ad andare fuori dalla lista che Mozilla fornisce , che viene aggiornato ogni tanto, anche se non vicino dove spesso come fanno i browser!

Attualmente suggerisce il seguente ordine di cifratura per un browser "moderno":

ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK

Questo suggerirebbe che l'opzione migliore che hai è DHE-RSA-AES128-SHA (che sono abbastanza sicuro che Apache parli per TLS_DHE_RSA_WITH_AES_128_CBC_SHA).

Non sei sicuro del motivo per cui AES128 sarà preferito su AES256, ma è lo stesso nell'elenco di Mozilla.

Modifica

La versione originale diceva "DHE-RSA-AES128-SHA256", il che era sbagliato: le dita erano abituate a digitare SHA256 ...