¿Se recomienda AES-GCM para SSL?

Question

¿Se recomienda AES-GCM para SSL?

#1 de Thomas Pornin (15 votos)
#2 de ice.nicer (1 votos)

15

Estoy pensando en activar SSL en todo el sitio para un sitio web que administro, y me pregunto cuáles son las mejores prácticas para la configuración de SSL. No estoy demasiado preocupado por la compatibilidad con navegadores antiguos y dispositivos móviles más oscuros, por lo que me gustaría reducir la lista de conjuntos de cifrado admitidos.

Los principales problemas que trato de evitar son CRIME y BESTIA. El primero se puede mitigar fácilmente desactivando la compresión, pero el segundo no es tan claro para mí. Según entiendo, BEAST es un ataque contra el modo CBC en lugar de un cifrado en particular, pero en general está dirigido contra AES. Como tal, ¿sería AES-GCM una buena opción de cifrado para usar con SSL?

tls aes cipher-selection beast

pregunta Polynomial 24.01.2013 - 14:17

fuente

2 respuestas

1

Me doy cuenta de que la publicación es de 2013, pero encontré esta publicación al investigar un parche para la última vulnerabilidad de openSSL anunciada el 3 de mayo de 2016 (Información - enlace ). El parche recomendado es el conjunto de cifrado TLS1.2 + AES-GCM.

El navegador más reciente en el último sistema operativo debería tener soporte para AES-GCM en este punto. Si aún desea confirmar esto, esta herramienta ( enlace ) proporcionará información sobre los conjuntos de cifrado SSL admitidos por su navegador.

respondido por el ice.nicer 05.05.2016 - 14:50

fuente

Lea otras preguntas en las etiquetas tls aes cipher-selection beast

entendiendo el paso "Ofrecer una clave pública RSA" durante la inicialización de la conexión SSH Monitoreo del acceso a archivos en Windows

score 15 · Accepted Answer

se recomienda GCM; incluso es aprobado por NIST . Sin embargo, los cifrados AEAD solo se admiten en TLS desde TLS 1.2 ; consulte la sección 6.2.3.3, que es nueva, en comparación con TLS 1.1 . Las suites de cifrado reales compatibles con GCM se definen en RFC 5288 . Tenga en cuenta que TLS 1.2 (y, en realidad, TLS 1.1 también) es inmune a los ataques tipo BESTIA cuando se usa CBC.

Por lo tanto, tendrá dificultades para encontrar un navegador web que admita GCM en este momento (escribo estas líneas en enero de 2013; es de esperar que el soporte de TLS 1.2 + GCM se generalice en algún momento ). Todavía está bien habilitarlo, y si el cliente lo admite, tanto mejor; GCM será más ligero en los procesadores x86 recientes con los opcodes AES-NI (estos opcodes han sido diseñados especialmente para GCM, en en particular PCLMULQDQ que implementa multiplicaciones en GF (2) [X] ). No es que el costo de la CPU de las suites de cifrado TLS tradicionales sea tan alto, pero es intelectualmente agradable saber que cada núcleo de servidor podría admitir un ancho de banda de 5 Gbit / s.

Pero si desea que los navegadores existentes realmente digan, explore su servidor, entonces también deberá permitir más conjuntos de cifrado "primitivos", aunque solo sea como un recurso alternativo.