TLS（Transport Layer Security，安全傳輸層協(xié)議）是一套用于在兩個(gè)通信應(yīng)用程序之間提供保密性和數(shù)據(jù)完整性的協(xié)議。SSH（全稱Secure Shell）是國(guó)際互聯(lián)網(wǎng)工程任務(wù)組（IETF）的網(wǎng)絡(luò)小組（Network Working Group）所制定的一套創(chuàng)建在應(yīng)用層和傳輸層基礎(chǔ)上的安全協(xié)議。IPSec（全稱InternetProtocolSecurity）是國(guó)際互聯(lián)網(wǎng)工程任務(wù)組（IETF）的IPSec小組建立的一組IP安全協(xié)議集。DES和Triple DES都是加密算法。;TLS、SSH和IPSec協(xié)議和其它協(xié)議及產(chǎn)品中使用的DES和Triple DES密碼算法存在安全漏洞。
目前廠商已經(jīng)發(fā)布了升級(jí)補(bǔ)丁以修復(fù)此安全問(wèn)題，補(bǔ)丁獲取鏈接：https://www.openssl.org/blog/blog/2016/08/24/sweet32/
通過(guò)補(bǔ)丁進(jìn)行修復(fù)顯然不現(xiàn)實(shí)，相關(guān)的證書(shū)已經(jīng)生成了。于是想通過(guò)禁用DES相關(guān)的內(nèi)容來(lái)達(dá)到修復(fù)的目的。
根據(jù)描述為443端口暴露出來(lái)的，這個(gè)端口是服務(wù)器正常提供https服務(wù)的端口，使用nginx進(jìn)行配置并提供服務(wù)。
ssl_ciphers "ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4";
刪除掉上面的ECDHE-RSA-DES-CBC3-SHA EDH-RSA-DES-CBC3-SHA DES-CBC3-SHA的相關(guān)內(nèi)容。保留!DES的選項(xiàng)。
ssl_ciphers "ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4";
然后重新啟動(dòng)nginx
nmap -sV --script ssl-enum-ciphers -p 443 www.example.com 域名改為你自己的域名即可。
