Dotaz: SSL/TLS: Report Vulnerable Cipher Suites for HTTPS

[zipi]

Zdravím, dokázal by mi někdo pomoci, jak odstranit z ssl_ciphers problémové šifry:

TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA (SWEET32)
TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (SWEET32)
TLS_RSA_WITH_3DES_EDE_CBC_SHA (SWEET32)

Moje konfigurace - Zkoušel jsem snad už vše, a ne a ne je odstranit :(

ssl_dhparam /etc/nginx/certs/dhparam-4096.pem;

ssl_session_cache shared:TLS:2m;
ssl_session_timeout 10m;

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;
ssl_session_tickets on;

# Set HSTS to 365 days
add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload' always;

# Enable OCSP stapling
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

NGinx používá v modu ProxyPass - paket směřuji na HTTP takže to by nemělo ovlivňovat šifry . Děkuji ...

Odpovědi

[MMMMMMMMM]

doplnil bych mezi ssl_ciphers: !DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA

[NN]

!DHE-RSA-DES-CBC3-SHA:!ECDHE-RSA-DES-CBC3-SHA:!DES-CBC3-SHA

Viz openssl 1.1.0 cyphers

[zipi]

To právě vůbec nefunguje :( při další skonu se pořád zobrazují tyto šifry :(

[MMMMMMMMM]

A proč ssl_prefer_server_ciphers off; a ne ssl_prefer_server_ciphers on; ?

[zipi]

Byl to jeden z testů. Ale výsledek byl stejný ..

[NN]

Jakem "skonu"? Jak overujes aktualni stav? Jaky je vystup https://www.ssllabs.com/ssltest/?

[zipi]

Mám (A+), ale OpenVas pořád tvrdí, že tam je tato chyba. Pokud testuji pomocí nmap --script ssl-enum-ciphers -p 443 mail.example.com Tak výsledek je:

443/tcp open  https
| ssl-enum-ciphers: 
|   TLSv1.2: 
|     ciphers: 
|       TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (secp256r1) - A
|       TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (dh 4096) - A
|       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 4096) - A
|     compressors: 
|       NULL
|     cipher preference: server
|_  least strength: A

[alkoholik]

Volba ssl_protocols TLSv1.2 TLSv1.3; jasne rika, ze mas TLSv1.2 a 1.3 a v nich kupodivu zadna 3DES sifra davno neni.
Jsou dve moznosti:
1) dostavas false positive z OpenVas
2) ve skutecnosti testujes jiny server, nez si myslis

[zipi]

Tak problem byl vyřešen, všem děkuji za nakopnutí .. nakonec pomohl nejvíce příkaz "nmap --script ssl-enum-ciphers -p 443 DNS or IP".

[Semo]

Otestuj to pomocou https://testssl.sh/. Mas to rychlejsie a mozes sa spolahnut, ze to nikde nic necachuje.

[zipi]

Rychlejší je použít příkaz "nmap --script ssl-enum-ciphers -p 443 DNS or IP"

[Max]

Doporučuji si ssl odladit pomocí :
Mozilla SSL generator
ssllabs.com/ssltest

Protože né vždy chceš zakázat všechny nebezpečné šifry. Většinou chceš upřednostňovat ty bezpečné, ale zároveň umožnit starším zařízením, co nepodporují poslední "výkřik módy", přístup.
Zdar Max

[bigBRAMBOR]

vy s tim nadelate

https://www.ssllabs.com/ssltest/analyze.html?d=www.postsignum.cz

a to je web stranka, při obnove cert pres ten jejich online client, fungujici pouze v IE nebo Win Offline client podporují sifrovani pouze SSL3, kdyz jsem tam napsal ze je to v dnesní dobe ostuda, dostal jsem email ze ne, a ze na jaro 2020 planuji podporu TLS 1.0

[bigBRAMBOR]

je teda fakt ze na to jsem si musel prijit sam, psalo mi to ze se nelze spojit se serverem a pres asi tri pokusy dovolat se na ruzne lidi na podpore jsem slysel pouze ze je problem u me a jestli tam nemame proxy, nicim jinym to byt nemuze. Pak jsem prisel na to ze to podporuje pouze SSLv3 a tu mame na vsech PC vypnutou. Pak jsem psal ten email, kdyz jsem dostal sahodlouhou odpoved, kde vysledkem je ze na jare 2020 bude ta podpora TLSv1.0

[NN]

Zase pozde ;)

Various Browser clients have provided approximate deadlines for disabling TLS 1.0 and TLS 1.1 protocol:
Browser Name 		Date
Microsoft IE and Edge 	First half of 2020
Mozilla Firefox 	March 2020
Safari/Webkit 		March 2020
Google Chrome 		January 2020