Al configurar el servicio IMAP de Dovecot, noté que los parámetros predeterminados no son óptimos, por ejemplo, permite SSLv3. Usando el programa TestSSLServer.java de Thomas Pournin, vi lo siguiente:
...
Minimal encryption strength: strong encryption (96-bit or more)
Achievable encryption strength: strong encryption (96-bit or more)
BEAST status: vulnerable
CRIME status: vulnerable
A modo de comparación, GMail parece no ser vulnerable a ninguno de los ataques:
$ java TestSSLServer imap.gmail.com 993
Supported versions: SSLv3 TLSv1.0 TLSv1.1 TLSv1.2
Deflate compression: no
Supported cipher suites (ORDER IS NOT SIGNIFICANT):
SSLv3
RSA_WITH_RC4_128_MD5
RSA_WITH_RC4_128_SHA
RSA_WITH_3DES_EDE_CBC_SHA
RSA_WITH_AES_128_CBC_SHA
RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_RC4_128_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
(TLSv1.0: idem)
(TLSv1.1: idem)
TLSv1.2
RSA_WITH_RC4_128_MD5
RSA_WITH_RC4_128_SHA
RSA_WITH_3DES_EDE_CBC_SHA
RSA_WITH_AES_128_CBC_SHA
RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_RC4_128_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
----------------------
Server certificate(s):
89091347184d41768bfc0da9fad94bfe882dd358: CN=imap.gmail.com, O=Google Inc, L=Mountain View, ST=California, C=US
----------------------
Minimal encryption strength: strong encryption (96-bit or more)
Achievable encryption strength: strong encryption (96-bit or more)
BEAST status: protected
CRIME status: protected
La vulnerabilidad para CRIME se prueba al verificar si la compresión está habilitada o no. Alguien de la lista de correo de Dovecot afirmó que BEAST no se aplica al correo, es cierto ? ¿Debería preocuparme por BEAST y / o CRIME en el contexto de un servicio IMAP?
Al permitir solo TLSv1.1 y superior, el estado de BESTIA se convierte en "protegido". Aunque no pude deshabilitar la compresión. ¿Cuáles son los parámetros recomendados para un servicio IMAP donde los clientes son lo suficientemente modernos?