Il lato server può comunicare usando l'algoritmo non elencato in CipherSuite?

Question

Il lato server può comunicare usando l'algoritmo non elencato in CipherSuite?

#1 da (3 voti)

1

Uso questi protocolli nella configurazione del server HTTPD Apache

SSLProtocol -ALL -SSLv3 +TLSv1.2

Ho configurato queste SSLCipherSuite:

SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCMSHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCMSHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSAAES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSAAES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSAAES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK

Ho usato lo script descritto qui link per ottenere l'elenco dei codici effettivi:

Testing ECDHE-RSA-AES256-SHA384...YES
Testing ECDHE-RSA-AES256-SHA...YES
Testing DHE-RSA-AES256-GCM-SHA384...YES
Testing DHE-RSA-AES256-SHA256...YES
Testing ECDHE-RSA-AES128-GCM-SHA256...YES
Testing ECDHE-RSA-AES128-SHA256...YES
Testing DHE-RSA-AES128-GCM-SHA256...YES
Testing DHE-RSA-AES128-SHA256...YES

Il lato server può comunicare usando l'algoritmo non elencato in CipherSuite? Ad esempio, il lato server può comunicare usando questo DES-CBC3-SHA cipher?

Faccio una domanda diversa. Chi usa i nostri clienti sostiene che utilizziamo DES-CBC3-SHA. Sono sicuro che non è possibile, ma sarò felice per la conferma.

encryption tls

posta Michael 20.02.2017 - 15:50

fonte

1 risposta

Leggi altre domande sui tag encryption tls

Protezione di un'API privata visibile su Internet pubblica CSRF su moduli anonimi

score 3 · Accepted Answer

In breve: il client offre i codici che ama utilizzare nel messaggio ClientHello dell'handshake TLS. Il server sceglie uno di questi codici in base a ciò che è configurato sul lato server. Ciò significa che il server non sceglierà un codice dai client elencati quando non è configurato anche sul lato server.

Ciò che descrivi può quindi in teoria non accadere. In pratica, può succedere se si guarda la configurazione di un server ma il client si collega effettivamente a un server diverso. Questo può essere ad esempio un bilanciamento del carico di terminazione SSL che potrebbe inoltrare nuovamente il traffico ai client con SSL, ma dove l'handshake SSL viene eseguito tra il servizio di bilanciamento del carico e il client e non il server e il client. In questo caso la tua configurazione non ha importanza, ma la configurazione dei load balancer è quella pertinente dal punto di vista del client.