No escriba, genere.

Utilice el generador de configuración SSL de Mozilla

Detalles de Gory

Obtienes 20 líneas de suites de cifrado. En mi versión de OpenSSL tengo muchas más suites de cifrado. A partir de hoy, tengo un total de 139 para elegir:

$ openssl version
OpenSSL 1.0.2d 9 Jul 2015

$ openssl ciphers -V 'ALL' | wc -l
131

$ openssl ciphers -V 'ALL:COMPLEMENTOFALL' | wc -l
139

Sí. ALL no significa "Todo".

Ahora construyamos la opción de lista de cifrado una tras otra y veamos cómo cambian los números:

$ openssl ciphers -V 'ALL' | wc -l
131

$ openssl ciphers -V 'ALL:!ADH' | wc -l
117

$ openssl ciphers -V 'ALL:!ADH:!EXPORT' | wc -l
110

$ openssl ciphers -V 'ALL:!ADH:!EXPORT:!SSLv2' | wc -l
106

$ openssl ciphers -V 'ALL:!ADH:!EXPORT:!SSLv2:RC4+RSA' | wc -l
106

$ openssl ciphers -V 'ALL:!ADH:!EXPORT:!SSLv2:RC4+RSA:+HIGH' | wc -l
106

$ openssl ciphers -V 'ALL:!ADH:!EXPORT:!SSLv2:RC4+RSA:+HIGH:+MEDIUM' | wc -l
106

$ openssl ciphers -V 'ALL:!ADH:!EXPORT:!SSLv2:RC4+RSA:+HIGH:+MEDIUM:+LOW' | wc -l
106

Los números no cambiaron en absoluto en las últimas 5 opciones. Esto me sugiere que esa cadena de cifrado se ha construido para una versión diferente a la mía. Y / o es simplemente incorrecto / sin sentido.

EDIT2015-08-19: incorrecto. Como @ dave-thompson-085 señaló: el recuento de la suite de cifrado no debe cambiar para ninguna palabra clave con el signo + delante. Sólo ordena lo que ya está allí. (Pensé erróneamente que se agregó y luego se ordenó).

Pero, nuevamente, no tengo ni idea de lo que pretendía hacer el autor original de la cadena de cifrado.

Libro de cocina de OpenSSL

Ivan Ristic de SSL Labs publica un capítulo gratuito de su "Bulletproof SSL and TLS" en línea. Esto se llama el OpenSSL Cookbook (archivado aquí ) y hace un buen trabajo explicando la temida cadena de conjuntos de cifrado en la sección Selección de conjunto de cifrado .

TLS_RSA_WITH_RC4_128_SHA

  

Si intento esto, ¿puede soplar algo en mi Apache?

Sí. Bloqueará a cualquiera que haya bloqueado el lado del cliente RC4. (Como Google Chrome. Y Firefox también se está moviendo en esa dirección). No es una buena idea. Pero se arregla fácilmente. Solo vuelve a colocar la cadena antigua y reinicia Apache.

Por cierto: el análisis de la opción de línea de comandos de OpenSSL es terrible.

$ openssl ciphers 'RC4'
ECDHE-RSA-RC4-SHA:ECDHE-ECDSA-RC4-SHA:AECDH-RC4-SHA:ADH-RC4-MD5:ECDH-RSA-RC4-SHA:ECDH-ECDSA-RC4-SHA:RC4-SHA:RC4-MD5:RC4-MD5:PSK-RC4-SHA:EXP-ADH-RC4-MD5:EXP-RC4-MD5:EXP-RC4-MD5

$ openssl ciphers 'RC4:!OPENSSL:+OPTION:PARSING:!MAKES:+ME:A:!BIT:+SAD:SOMETIMES'
ECDHE-RSA-RC4-SHA:ECDHE-ECDSA-RC4-SHA:AECDH-RC4-SHA:ADH-RC4-MD5:ECDH-RSA-RC4-SHA:ECDH-ECDSA-RC4-SHA:RC4-SHA:RC4-MD5:RC4-MD5:PSK-RC4-SHA:EXP-ADH-RC4-MD5:EXP-RC4-MD5:EXP-RC4-MD5

Sí, esa es la misma salida en ambas ocasiones. Y no hay mensajes de error.

EDITAR 2015-08-19: Cómo obtener los nombres de Cipher Suite

Has enumerado algunos nombres de conjuntos de cifrado que en realidad no existen.

Aquí está la receta general sobre cómo obtener los nombres de OpenSSL: enumera todo y luego grep para los bits que desea. Al igual que:

  

SSL3-RSA-RSA-NONE-0-MD5

$ openssl ciphers -V ALL:COMPLEMENTOFALL | grep -i 'kx=rsa' | grep -i 'au=rsa' | grep -i 'Enc=None' | grep -i 'mac=md5'
      0x00,0x01 - NULL-MD5                SSLv3 Kx=RSA      Au=RSA  Enc=None      Mac=MD5

Entonces, el único conjunto de cifrado que cumple estos criterios es NULL-MD5 . (Ese es el nombre de OpenSSL. El nombre oficial de la IANA de este nombre hubiera sido TLS_RSA_WITH_NULL_MD5 .)

Aquí hay otro ejemplo:

  

SSL3-RSA-RSA-NONE-0-SHA

$ openssl ciphers -V ALL:COMPLEMENTOFALL | grep -i 'kx=rsa' | grep -i 'au=rsa' | grep -i 'Enc=None' | grep -i 'mac=sha1'
      0x00,0x02 - NULL-SHA                SSLv3 Kx=RSA      Au=RSA  Enc=None      Mac=SHA1

Y así sucesivamente.

La respuesta de una de mis preguntas es la siguiente:

Los prefijos disponibles son:

1. (+): Mueve el cifrado correspondiente a la ubicación actual en la lista.
2. (-): Elimina el cifrado correspondiente de la lista (se puede agregar más adelante).
3. (!): elimine el cifrado coincidente de la lista (no se puede agregar más adelante).

La cadena de cifrado predeterminada en Apache v2.2 es ALL:! ADH: RC4 + RSA: + HIGH: + MEDIUM: + LOW: + SSLv2: + EXP y se puede leer como :

• Comience con todos los cifrados (TODOS :)
  • Recuerde que la especificación de cifrado está separada por dos puntos
• Eliminar todas las cifras anónimas diffie-hellman (! ADH)
• Agrega todos los RC4 y RSA
• Agregue cifrados de alta, media y baja fuerza
• Agregue SSLv2 y exporte cifrados a la lista, al final.