JSSE 推荐的密码套件

信息安全 tls 密码选择
2021-08-13 06:27:05

在 POODLE 之后，我正在审查在 JSSE 连接器上运行的许多 Tomcat 服务器的配置。

为了弄清楚 JSSE 支持哪些密码，我编写了一个小片段，它发出了所有可用的密码，结果是：

SSL_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA
SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA
SSL_DHE_DSS_WITH_DES_CBC_SHA
SSL_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA
SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA
SSL_DHE_RSA_WITH_DES_CBC_SHA
SSL_DH_anon_EXPORT_WITH_DES40_CBC_SHA
SSL_DH_anon_EXPORT_WITH_RC4_40_MD5
SSL_DH_anon_WITH_3DES_EDE_CBC_SHA
SSL_DH_anon_WITH_DES_CBC_SHA
SSL_DH_anon_WITH_RC4_128_MD5
SSL_RSA_EXPORT_WITH_DES40_CBC_SHA
SSL_RSA_EXPORT_WITH_RC4_40_MD5
SSL_RSA_WITH_3DES_EDE_CBC_SHA
SSL_RSA_WITH_DES_CBC_SHA
SSL_RSA_WITH_NULL_MD5
SSL_RSA_WITH_NULL_SHA
SSL_RSA_WITH_RC4_128_MD5
SSL_RSA_WITH_RC4_128_SHA
TLS_DHE_DSS_WITH_AES_128_CBC_SHA
TLS_DHE_DSS_WITH_AES_128_CBC_SHA256
TLS_DHE_DSS_WITH_AES_128_GCM_SHA256
TLS_DHE_RSA_WITH_AES_128_CBC_SHA
TLS_DHE_RSA_WITH_AES_128_CBC_SHA256
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
TLS_DH_anon_WITH_AES_128_CBC_SHA
TLS_DH_anon_WITH_AES_128_CBC_SHA256
TLS_DH_anon_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_NULL_SHA
TLS_ECDHE_ECDSA_WITH_RC4_128_SHA
TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_NULL_SHA
TLS_ECDHE_RSA_WITH_RC4_128_SHA
TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA
TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDH_ECDSA_WITH_NULL_SHA
TLS_ECDH_ECDSA_WITH_RC4_128_SHA
TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA
TLS_ECDH_RSA_WITH_AES_128_CBC_SHA
TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDH_RSA_WITH_NULL_SHA
TLS_ECDH_RSA_WITH_RC4_128_SHA
TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA
TLS_ECDH_anon_WITH_AES_128_CBC_SHA
TLS_ECDH_anon_WITH_NULL_SHA
TLS_ECDH_anon_WITH_RC4_128_SHA
TLS_EMPTY_RENEGOTIATION_INFO_SCSV
TLS_KRB5_EXPORT_WITH_DES_CBC_40_MD5
TLS_KRB5_EXPORT_WITH_DES_CBC_40_SHA
TLS_KRB5_EXPORT_WITH_RC4_40_MD5
TLS_KRB5_EXPORT_WITH_RC4_40_SHA
TLS_KRB5_WITH_3DES_EDE_CBC_MD5
TLS_KRB5_WITH_3DES_EDE_CBC_SHA
TLS_KRB5_WITH_DES_CBC_MD5
TLS_KRB5_WITH_DES_CBC_SHA
TLS_KRB5_WITH_RC4_128_MD5
TLS_KRB5_WITH_RC4_128_SHA
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_NULL_SHA256

我已SSL在服务器上完全禁用，因此只有TLSv1.0-2可用。我想仅限于强密码。我不担心向后兼容性。

主要使用Mozilla 的建议以及关于 SO 的答案和这篇博客文章来缩小列表范围，我将列表范围缩小到：

TLS_DHE_RSA_WITH_AES_128_CBC_SHA
TLS_DHE_RSA_WITH_AES_128_CBC_SHA256
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_128_GCM_SHA256

这是一组合理的密码吗？我是否删除了一些我不应该拥有的东西？该列表中的任何安全级别都不高吗？

1个回答

总是有可能变得更加偏执，因此您可以进一步缩小列表，具体取决于您的担心程度。基本上：

  • 删除 DH_anon 密码套件：它们不对服务器进行身份验证，因此它们对中间人攻击很弱。
  • 不要使用RC4，因为它有已知的偏差。
  • 不要使用3DES，因为它的短块大小（8 字节）使它在前几 GB 的数据之后变得很麻烦。
  • 不要使用在 CBC 模式下工作的任何分组密码，因为 SSL/TLS 使用的 MAC-then-encrypt 模式下的 CBC 模式很难正确实施（请参阅所有 BEAST 和 Poodle 攻击）。
  • 始终使用 DHE 或 ECDHE 密码套件来获得前向保密性。
  • 如果您想在不完全了解基于差分路径分析的碰撞是什么的恐慌人群中看起来不错，请不要使用 SHA-1。

那时，您最终会强制执行 TLS 1.2（并拒绝以前的版本），以及以下列表：

TLS_DHE_DSS_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

当然，这个列表会进一步减少，这取决于服务器证书中包含的密钥类型。如果密钥的类型为 DSS，则只能使用第一个密码套件。如果它具有 ECDSA 类型，则仅适用第二个。如果像世界上 99.3% 的人一样，您使用 RSA 作为证书，那么您可以在最后两个密码套件之间进行选择；如果你想释放你内心的时髦，你会更喜欢 ECDHE。

在实践中，SSL 密码套件的选择极不可能成为发生妥协的弱点。当攻击者劫持你的服务器时，他们不会通过预先处理加密来做到这一点。所以不要想太多。请注意，您在修剪密码套件列表方面所做的大部分努力实际上是为了安抚挑剔的审计员和担心的经理，所以重要的操作问题不是“什么可以确保最大的安全性？” 但是“什么会引起最强烈的安全感？”。

其它你可能感兴趣的问题
上一篇使用 GPG 签署电子邮件时，收件人的验证如何工作？ 下一篇如何阻止黑客对我的电子邮件 ID 的攻击？