web-dev-qa-db-fra.com

Comment atténuer le caniche mais garder le support SSLV3 pour les anciens clients

Comment puis-je atténuer l'attaque de caniche, mais maintenez toujours la prise en charge des anciens clients tels que IE6 sur Windows XP ou un client de messagerie.

J'ai remarqué que Google le fait: https://www.ssllabs.com/ssltest/analyze.html?d=mail.google.com

J'utilise Nginx et OpenSSL.

De plus, je souhaite suivre le secret avec les navigateurs modernes/la plupart des navigateurs. Je veux garder ma note a-classée sur les ssllabs.

nginxsslpoodle
19
cypres

Comme Google écrit sur cette entrée de blog http://googleonlinesecurity.blogspot.se/2014/10/this-poodle-bites-exploiting-sssl-30.html Il y a trois façons d'atténuer le caniche:

  • Désactiver le support SSL 3.0
  • Désactiver les chiffres en mode CBC avec SSL 3.0
  • Prise en charge TLS_BALLBACK_SCSV

Les deux premières options rompent la compatibilité avec les anciens clients tels que IE6 sur XP. TLS_BALLBACK_SSV dépend du navigateur qui le supporte, ce qui, à l'heure actuelle, seul Chrome le fait, mais Firefox sera trop tôt. TLS_CALBACK_SSV nécessite le nouvellement publié OpenSSL 1.0.1J.

Si possible, vous devez désactiver le support SSL 3, mais si vous avez besoin de le garder autour, voici comment vous pouvez l'atténuer, si vous avez OpensSl 1.0.1J et NGinx:

ssl_ciphers EECDH+ECDSA+AESGCM:EECDH+aRSA+AESGCM:EECDH+ECDSA+SHA384:EECDH+ECDSA+SHA256:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH+aRSA+RC4:EECDH:EDH+aRSA:RC4:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS:!CAMELLIA;
ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;

Cette configuration de chiffres apportera un secret avant dans la plupart des navigateurs et atténuera le côté du serveur Poodle + Beast. Il fonctionne en priorisant RC4 sur AES lorsqu'il est confronté à un navigateur SSL 3 ou TLS 1.0, évitant ainsi le mode CBC. Les navigateurs qui exécutent TLS 1.1+ n'utilisent pas RC4, qui n'est pas aussi sécurisé que nous le souhaiterions .

Il donne actuellement une note sur les ssllabs, l'exemple de ceci en action: https://wwww.ssllabs.com/ssltest/analyze.html?d=s.nimta.com

23
cypres