désactiver les chiffrements faibles dans la connexion SSL

Question

J'utilise la fonction SSL_CTX_set_cipher_list pour définir les chiffrements pris en charge pour la connexion SSL. Quel argument à transmettre à SSL_CTX_set_cipher_list pour désactiver les chiffrements faibles.

J'ai essayé passer ALL:!ADH:!LOW:!EXP:!MD5:@STRENGTH

mais il ne semble pas fonctionner.

Mon outil pour détecter les rapports de chiffrement faibles pour les éléments suivants comme étant activé encore

 
** SSLv3:DES-CBC-SHA - ENABLED - WEAK 56 bits ** 

** TLSv1:DES-CBC-SHA - ENABLED - WEAK 56 bits ** 

** SSLv2:RC4-MD5 - ENABLED - WEAK 128 bits ** 
** SSLv2:RC2-CBC-MD5 - ENABLED - WEAK 128 bits ** 
** SSLv2:RC4-64-MD5 - ENABLED - WEAK 64 bits ** 
** SSLv2:DES-CBC-MD5 - ENABLED - WEAK 56 bits ** 
** SSLv2:EXP-RC4-MD5 - ENABLED - WEAK 40 bits ** 
** SSLv2:EXP-RC2-CBC-MD5 - ENABLED - WEAK 40 bits ** 
** SSLv2:DES-CBC3-MD5 - ENABLED - WEAK 168 bits ** 

Quel argument pour passer à SSL_CTX_set_cipher_list pour désactiver les chiffrements ci-dessus?

Answer 1

ÉLEVÉ:! DSS:! ANULL @ STRENGTH devrait fonctionner.

OpenSSL chiffrements -v « HIGH: DSS: Anull @ RESISTANCE » imprime la liste suivante de chiffrements:

DHE-RSA-AES256-SHA  SSLv3 Kx=DH  Au=RSA Enc=AES(256) Mac=SHA1 
AES256-SHA    SSLv3 Kx=RSA  Au=RSA Enc=AES(256) Mac=SHA1 
EDH-RSA-DES-CBC3-SHA SSLv3 Kx=DH  Au=RSA Enc=3DES(168) Mac=SHA1 
DES-CBC3-SHA   SSLv3 Kx=RSA  Au=RSA Enc=3DES(168) Mac=SHA1 
DES-CBC3-MD5   SSLv2 Kx=RSA  Au=RSA Enc=3DES(168) Mac=MD5 
DHE-RSA-AES128-SHA  SSLv3 Kx=DH  Au=RSA Enc=AES(128) Mac=SHA1 
AES128-SHA    SSLv3 Kx=RSA  Au=RSA Enc=AES(128) Mac=SHA1 

Pour une liste complète des chaînes de chiffrement OpenSSL et leur signification jeter un oeil à : http://www.openssl.org/docs/apps/ciphers.html

Answer 2

Quel argument pour passer à SSL_CTX_set_cipher_list pour désactiver les chiffrements faibles

Cela dépend de qui est la définition de faible que vous utilisez. En 2015, vous devez dépasser efficacement HIGH:!aNULL parce que les navigateurs modernes rejettent certains des chiffres inclus avec HIGH. Si vous autorisez MD5 et/ou RC4, vous obtenez le obsolete cryptography warning.

HIGH:!aNULL:!MD5:!RC4 

L'appel ressemblerait à ceci:

rc = SSL_CTX_set_cipher_list(ctx, "HIGH:!aNULL:!MD5:!RC4"); 
ASSERT(rc >= 1); 

Vous devez également désactiver SSLv2, SSLv3 et probablement la compression. Vous le faites comme ceci:

const long flags = SSL_OP_NO_SSLv2 | SSL_OP_NO_SSLv3 | SSL_OP_NO_COMPRESSION; 
SSL_CTX_set_options(ctx, flags); 

SSL_CTX_set_options ne retourne pas une valeur, donc il n'y a rien à tester pour assurer l'appel réussit.