Perché dovrebbe ancora essere utilizzato TLSv1.0 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA?

Question

Perché dovrebbe ancora essere utilizzato TLSv1.0 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA?

#1 da (3 voti)

1

In primo luogo, potrei fare una domanda stupida. Sto cercando di imparare, quindi per favore, prenditela con calma.

In secondo luogo, se questo non è il posto giusto per questa domanda, o puoi collegarmi altrove, per favore dimmi / fallo.

In terzo luogo, apprezzo chiunque abbia il tempo di rispondere.

Detto questo, sto utilizzando un programma desktop (come cliente) che trasmette informazioni in tempo reale e contiene anche dati sensibili su di esso, come i valori dell'account e i numeri di conto. Non conserva o trasmette informazioni sulla carta di credito.

A volte ho Wireshark in esecuzione e ho notato che questo programma completa l'handshake utilizzando TLSv1.0 con la suite di crittografia TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA. Non riesco a capire perché questo dovrebbe prendere in considerazione ciò che ho capito su TLSv1.0 e CBC (ma nota sopra, io sono nuovo a questo). Tutto questo, in ogni caso, è appropriato perché il suo scambio di chiavi è l'ECDHE e il codice di crittografia di AES 256?

So che questo non è conforme allo standard PCI-DSS e so che molti fornitori si sono completamente allontanati da TLSv1.0, come completamente disabilitato. Posso solo pensare che la ragione di ciò sia perché il proprietario del programma non vuole escludere i client che potrebbero utilizzare sistemi operativi precedenti che non dispongono di nuove suite di crittografia, ma potrei essere fuorviato nella mia comprensione di ciò. Le specifiche consigliate dal proprietario per il sistema operativo sono Windows 10, ma non vedo alcun problema sul motivo per cui non funzionerebbe con versioni del sistema operativo precedenti, incluso forse Vista.

Ovviamente sono timido per il programma, perché non ho idea se questo rappresenti un rischio. Dato che sono novizio, ho il sospetto che coloro che sono incaricati del programma abbiano un valido motivo per utilizzare questa versione di TLS / Cipher Suite, ma ho pensato di chiedere.

Grazie per aver trovato il tempo di leggere.

modifica: dimenticato di menzionare - Metodo di compressione: null (0) - Ho letto che questo dovrebbe essere impostato su null, nel caso questo sia importante.

encryption tls ciphers tls-downgrade

posta Ryan 19.09.2018 - 03:52

fonte

1 risposta

Leggi altre domande sui tag encryption tls ciphers tls-downgrade

L'API di crittografia Web impedisce a un server danneggiato di svuotare il testo in chiaro? Recenti attacchi e vulnerabilità [chiuso]

score 3 · Answer 1

Il protocollo e i cipher utilizzati dipendono dalle funzionalità sia del client che del server. Non si dice che tipo di server è coinvolto, ma in genere gli stack TLS di oggi sul lato client offrono una varietà di cifrari e supportano anche TLS 1.0. Se il server non può fare meglio di TLS 1.0, questo è ciò che viene utilizzato come versione minima del protocollo. Il per il codice: il server sceglie quello che è offerto dal client e supportato sul server. E, anche se TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA potrebbe non essere il codice più moderno, oggi è perfettamente sicuro.

Quindi, per scoprire chi è la colpa per TLS 1.0 e per il cipher guarda più vicino alla stretta di mano, cioè guarda ClientHello su ciò che il client offre (come dave_thompson_085 ha puntualizzato correttamente: guarda dentro "inner" versione e non la versione del livello record). Se il client offre TLS 1.2 e il protocollo risultante è solo TLS 1.0, il server è responsabile per questo e non per il client. Lo stesso vale per la scelta dei cipher, cioè alla fine il server decide cosa usare.

Sul motivo per cui un server potrebbe ancora supportare solo TLS 1.0: è probabilmente un sistema più vecchio che non supporta ancora le versioni più recenti. E poiché il costo dell'aggiornamento non è zero (non solo il costo del software ma anche il costo di testare tutto ciò che dipende da esso e forse di più) il proprietario ha deciso di non eseguire l'aggiornamento a un sistema più moderno.