¿Puede el lado del servidor comunicarse usando un cifrado que no esté incluido en CipherSuite?

Question

¿Puede el lado del servidor comunicarse usando un cifrado que no esté incluido en CipherSuite?

#1 de Steffen Ullrich (3 votos)

1

Utilizo estos protocolos en la configuración del servidor HTTPD de Apache

SSLProtocol -ALL -SSLv3 +TLSv1.2

He configurado estos SSLCipherSuite:

SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCMSHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCMSHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSAAES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSAAES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSAAES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK

Usé el script descrito aquí enlace para obtener la lista de cifrados reales:

Testing ECDHE-RSA-AES256-SHA384...YES
Testing ECDHE-RSA-AES256-SHA...YES
Testing DHE-RSA-AES256-GCM-SHA384...YES
Testing DHE-RSA-AES256-SHA256...YES
Testing ECDHE-RSA-AES128-GCM-SHA256...YES
Testing ECDHE-RSA-AES128-SHA256...YES
Testing DHE-RSA-AES128-GCM-SHA256...YES
Testing DHE-RSA-AES128-SHA256...YES

¿Puede el lado del servidor comunicarse usando un cifrado que no esté en la lista de CipherSuite? Por ejemplo, ¿puede el lado del servidor comunicarse usando este DES-CBC3-SHA cifrado?

Hago otra pregunta. Quien utiliza a nuestros clientes afirma que usamos DES-CBC3-SHA. Estoy seguro de que no es posible, pero estaré encantado con la confirmación.

encryption tls

pregunta Michael 20.02.2017 - 15:50

fuente

1 respuesta

Lea otras preguntas en las etiquetas encryption tls

Asegurar una API privada que sea visible en la Internet pública ¿Qué tan efectiva es la lista blanca de MAC en un punto de acceso inalámbrico? [duplicar]

score 3 · Accepted Answer

En resumen: el cliente ofrece los cifrados que le gusta usar en el mensaje de ClientHello del saludo de TLS. El servidor elige uno de estos cifrados según lo que está configurado en el lado del servidor. Esto significa que el servidor no elegirá un cifrado de los clientes enumerados cuando no esté configurado en el lado del servidor también.

Lo que usted describe puede, por lo tanto, en teoría no suceder. En la práctica, puede suceder si observa la configuración de un servidor pero el cliente realmente se conecta a un servidor diferente. Esto puede ser, por ejemplo, un equilibrador de carga de terminación SSL que podría reenviar el tráfico de clientes nuevamente con SSL, pero donde se realiza el intercambio de SSL entre el equilibrador de carga y el cliente y no su servidor y el cliente. En este caso, su configuración no importa, sino que la configuración de los equilibradores de carga es la relevante desde la perspectiva del cliente.