Perché il mio "Client Hello" cambia in base alla configurazione del server?

0

Ho l'esigenza di configurare tutte le nostre applicazioni in modo che utilizzino solo cipherrite PFS dove possibile.

Ho un'applicazione (HP Network Automation), che supporta lo scambio di chiavi DHE (anche se non ECDHE), ma quando la limito solo alle seguenti due suite:

TLS_DHE_RSA_WITH_AES_128_CBC_SHA256, TLS_DHE_RSA_WITH_AES_256_CBC_SHA256

Non riesco a connettermi tramite IE11, FF o Chrome.

Ho esaminato le tracce di wireshark e, quando non ho restrizioni sul server, il client di Firefox Hello contiene 66 suite, tra cui 6b e 67, che sono le due sopra elencate.

Tuttavia, quando limito il server a offrire solo le 2 suite di cui sopra, il mio Client Hello contiene solo 11 suite e non include 6b o 67.

Pensavo che Client Hello fosse la prima vera comunicazione, (non includendo l'handshake TCP), quindi come può la configurazione del server influenzare il CLient Hello?

NB. Queste applicazioni sono accessibili solo tramite intranet e VPN, quindi abbiamo il controllo su quali client si connetteranno. Non abbiamo bisogno di offrire suite legacy.

    
posta gtmcclinton 07.09.2016 - 12:31
fonte

2 risposte

1

Posso confermare di aver testato i server web più duri per la conformità e non ho riscontrato problemi con IE o FF che negoziavano questi codici. L'unico problema è che la configurazione predefinita di FF, a differenza di altri browser, è configurata per accettare suite basate su AES128 su suite basate su AES256 se entrambe sono abilitate.

    
risposta data 07.09.2016 - 15:28
fonte
0

Se osservi i codici supportati di IE11 e Firefox 47 su Qualys, in realtà non supportano questi due codici, il che è stato una sorpresa per me.

L'ho arrotondato abilitando TLS_DHE_RSA_WITH_AES_128_CBC_SHA (no SHA256) per Firefox e TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 per IE11

    
risposta data 07.09.2016 - 17:01
fonte

Leggi altre domande sui tag