☰

conjuntos de criptografia e desativação de cifras fracas no JBoss

tag-icon • tag-icon ssl jboss
conjuntos de criptografia e desativação de cifras fracas no JBoss

Nosso relatório de auditoria de segurança diz que vários de nossos servidores JBoss EAP 5.0 (no RHEL 6.x) possuem criptografias fracas habilitadas. Ao fazer algumas pesquisas, encontrei um .jararquivo (dehttps://access.redhat.com/solutions/18405) que, quando executado no servidor, lista os conjuntos de criptografia padrão e suportados. Executei o .jararquivo e obtive a seguinte saída na seção de conjuntos de criptografia padrão:

DefaultCipherSuites:

SSL_RSA_WITH_RC4_128_MD5
SSL_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_DHE_RSA_WITH_AES_128_CBC_SHA
TLS_DHE_RSA_WITH_AES_256_CBC_SHA
TLS_DHE_DSS_WITH_AES_128_CBC_SHA
TLS_DHE_DSS_WITH_AES_256_CBC_SHA 
SSL_RSA_WITH_3DES_EDE_CBC_SHA 
SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA
SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA
SSL_RSA_WITH_DES_CBC_SHA
SSL_DHE_RSA_WITH_DES_CBC_SHA
SSL_DHE_DSS_WITH_DES_CBC_SHA
SSL_RSA_EXPORT_WITH_RC4_40_MD5
SSL_RSA_EXPORT_WITH_DES40_CBC_SHA
SSL_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA
SSL_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA
TLS_EMPTY_RENEGOTIATION_INFO_SCSV

Entendo que cifras fracas são aquelas cujo comprimento de chave é inferior a 128 bits. E isso de todas as cifras listadas acima:

  • Aqueles que contêm '128' em seu nome indicam cifras com comprimento de chave de 128.
  • Aqueles que contêm '256' fornecem criptografia de 256 bits.
  • As que possuem 'DES' são chaves DES com criptografia de 56 bits.
  • Aqueles com 'RC4_40' significa criptografia de 40 bits.
  • Aqueles com 'DES40' significam criptografia de 40 bits novamente.
  • Aqueles com '3DES' significa DES triplo com criptografia de chave 128/192.

Estou ciente de como editar o bloco do conector SSL/TLS server.xmlpara ativar apenas alguns dos conjuntos de criptografia.

Agora minhas perguntas são:

  1. Meu entendimento sobre a relação entre os nomes das cifras e os comprimentos de bits que eles suportam está correto?

  2. Se a resposta para minha pergunta nº 1 for 'sim', então 'desativar todas as cifras fracas' significa remover/desativar todas as cifras que possuem DES, RC4_40 e DES40 em seus nomes?

  3. Qual é o comprimento da chave de TLS_EMPTY_RENEGOTIATION_INFO_SCSV?

informação relacionada