¿Por qué el generador de configuración SSL de Mozilla no prohíbe aNULL y MD5?

Navega tus respuestas
0

He estado usando durante algún tiempo este conjunto de cifrados de Acunetix , a la que también agregué !DSS . 

ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS

Recientemente descubrí Generador de configuración SSL de Mozilla , que genera una información más detallada ( y actualizado) serie de cifrados. Sin embargo, me di cuenta de que no está rechazando ni aNULL ni MD5 . 

ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS

¿Cuál sería la razón probable para no hacerlo?

    
pregunta yzT 12.08.2016 - 13:42
fuente

2 respuestas

2

La lista generada no contiene ningún cifrado o conjunto de cifrado que contenga autenticación anónima o cifrados con MD5, por lo que no es necesario deshabilitarlos explícitamente. En realidad, el! DSS al final no es necesario ya que ninguno de los cifrados permitidos anteriormente contiene nada que esté cubierto por DSS.

Para obtener más información sobre cómo se construye la cadena de cifrado y cómo interpretarla, consulte la documentación .

    
respondido por el Steffen Ullrich 12.08.2016 - 14:09
fuente
0

A diferencia de Acunetix one, la configuración generada por Mozilla es una lista blanca exhaustiva, que no contiene ningún conjunto de cifrado con MD5. ¿Cuál sería el punto de eliminar algo que no está aquí?

    
respondido por el Bruno Rohée 12.08.2016 - 14:08
fuente

Lea otras preguntas en las etiquetas

¿Opcionalmente, usar Sha-3 antes de scrypt dependiendo de la longitud de la contraseña? ¿Cómo puede el servidor SSL seleccionar el conjunto de cifrado del parámetro propuesto por el Cliente?