☰

¿Cómo elimino/desactivo los conjuntos de cifrado CBC en el servidor Apache?

tag-icon • tag-icon ssl
¿Cómo elimino/desactivo los conjuntos de cifrado CBC en el servidor Apache?

Probé la siguiente configuración para eliminar los conjuntos de cifrado CBC en el servidor Apache,

SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256
SSLHonorCipherOrder on
SSLCompression off

Después de realizar algunas pruebas, los conjuntos de cifrado CBC todavía están habilitados en mi Apache. ¿No estoy seguro de qué suites debo eliminar/agregar?

Respuesta1

Es un error común con la biblioteca TLS que utiliza su instalación de Apache, OpenSSL, que no nombra sus conjuntos de cifrado por su nombre.nombre completo de la IANApero a menudo uno simplificado, que a menudo omite el modo de encadenamiento utilizado. Es una mala idea y no creo que lo hagan más en las suites recién agregadas.

Su configuración todavía solicita algunas suites CBC; existe, por ejemplo, ECDHE-ECDSA-AES256-SHA384 que en realidad es TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384. Cualquier suite AES que no especifique un modo de encadenamiento probablemente utilice CBC en OpenSSL (y, por lo tanto, Apache).

Puedes cazarlos uno por uno comprobandohttps://ciphersuite.info/cs/?sort=asc&security=all&singlepage=true&tls=tls12&software=opensslo la opción que recomendaría, usar el Generador de configuración SSL de Mozilla para obtener rápidamente una configuración que funcione bien (https://ssl-config.mozilla.org/). Para evitar que el generador incluya suites CBC, seleccione "Intermedio" ya que la configuración "Antigua" incluye algunas suites CBC para permitir que se conecten clientes muy antiguos.

información relacionada