一个专业运维
技术分享网站!

SSLTLS 服务器瞬时 Diffie-Hellman 公共密钥过弱【原理扫描】修复建议

方法一:

一.  修改SSL密码套件

1.1  加固方法:

1.1.1  操作步骤:

第一步:按下’ Win + R’,进入”运行”,键入” gpedit.msc”,打开”本地组策略编辑器”。

第二步:打开计算机配置->管理模板->网络->SSL配置设置。

第三步:在”SSL密码套件顺序”选项上,右键”编辑”->在”SSL密码套件顺序”选在”已启用(E)” 。

第四步:在”SSL密码套件”下修改SSL密码套件算法,仅保留TLS 1.2 SHA256 和 SHA384 密码套件、TLS 1.2 ECC GCM 密码套件(可先复制该选项原始数值并备份到记事本作回退备用,然后删除原有内容替换为TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P521,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_NULL_SHA256

点击”应用”、”确定”,并重启系统实现修复。

第五步:最后重启服务器。

1.1.2  修复结果验证:

检查前:

通过绿盟远程安全评估系统扫描,发现SSLTLS 服务器瞬时 Diffie-Hellman 公共密钥过弱【原理扫描】漏洞。

SSL在传输层对网络连接进行加密。传输层安全TLS(Transport Layer Security),IETF对SSL协议标准化(RFC 2246)后的产物,与SSL 3.0差异很小。

当服务器SSL/TLS的瞬时Diffie-Hellman公共密钥小于等于1024位时,存在可以恢复纯文本信息的风险。

加固后:

通过以上提供的加固方法进行对服务器加固,再次扫描发现。

该漏洞已经修复完成。

1.2  回退方法:

操作步骤:

第一步:按下’ Win + R’,进入”运行”,键入” gpedit.msc”。

第二步:打开”本地组策略编辑器”->计算机配置->网络->SSL配置设置。

第三步:在”SSL密码套件顺序”选项上,右键”编辑”->在”SSL密码套件顺序”选在”已启用(E)” 。

第四步:在”SSL密码套件”下修改SSL密码套件算法,在内容里面输入之前作为回退备用的记事本内数值,若当时没有备份可参考输入以下内容:(“TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_RC4_128_SHA,TLS_RSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WITH_RC4_128_MD5,SSL_CK_RC4_128_WITH_MD5,SSL_CK_DES_192_EDE3_CBC_WITH_MD5,TLS_RSA_WITH_NULL_SHA256,TLS_RSA_WITH_NULL_SHA” )->点击”应用”、”确定”,即可。

方法二:

nginx.conf 配置。

1、生成 dhparams.pem。

cd /usr/local/nginx/conf
    
openssl dhparam -out dhparams.pem 2048
    
chmod -R 755 dhparams.pem

2、编辑 nging.conf 文件,添加 ssl_dhparam {path to dhparams.pem} 。

ssl_dhparam /usr/local/nginx/conf/dhparams.pem;
历史上的今天
十月
29
    哇哦~~~,历史上的今天没发表过文章哦
赞(3) 打赏
未经允许不得转载:小柳实验室 » SSLTLS 服务器瞬时 Diffie-Hellman 公共密钥过弱【原理扫描】修复建议
分享到: 更多 (0)

评论 抢沙发

评论前必须登录!

 

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏