如何識別和刪除CipherSuite中的CBC密碼？

Question

我有cipherSuite下面的密碼apache http服務器。掃描後，我發現一些密碼（CBC）很弱，需要刪除。但我無法確定其中哪些實際上是CBC。你能幫忙嗎？

僅供參考 - 版本

的Apache 2.4.23; openssl 1.0.2h; RHEL7

的SSLCipherSuite：

ECDHE-RSA-AES128-GCM-SHA256：ECDHE-ECDSA-AES128-GCM-SHA256：ECDHE-RSA-AES256-GCM-SHA384： ECDHE-ECDSA-AES256 -GCM-SHA384：DHE-RSA-AES128-GCM-SHA256：DHE-DSS-AES128-GCM-SHA256： ECDHE-RSA-AES128-SHA256：ECDHE-ECDSA-AES128-SHA256： ECDHE-ECDSA-AES128-SHA ：ECDHE-RSA-AES256-SHA384：ECDHE-ECDSA-AES256-SHA384： ECDHE-ECDSA-AES256-SHA：DHE-RSA-AES128-SHA256： DHE-DSS-AES128-SHA256：DHE-RSA-AES256-SHA256 ： DHE-DSS-AES256-SHA：AES128-GCM-SHA256：AES256-GCM-SHA384： AES128-SHA256：AES256-SHA256：AES：DES-CBC3-SHA： ！aNULL：！eNULL：！EXPORT：！DES：！RC4：！MD5：！PSK：！aECDH：！EDH-DSS-DES-CBC3 -SHA： EDH-RSA-DES-CBC3-SHA：KRB5-DES-CBC3-SHA：3DES

CBC密碼造成的脆弱性：如何在上面套房識別這些？ * TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA（secp256r1） - 甲 TLS_DHE_RSA_WITH_AES_256_CBC_SHA（DH 2048） - 甲 TLS_RSA_WITH_AES_256_CBC_SHA（RSA 2048） - 甲 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA（secp256r1） - 甲 TLS_DHE_RSA_WITH_AES_128_CBC_SHA（DH 2048） - 甲 TLS_RSA_WITH_AES_128_CBC_SHA（RSA 2048） - A *

我發現了一些帶有「CBC3」的密碼，但是當我刪除它們時，Apache沒有響應https請求。

Answer 1

任何與CBC密碼的名稱是CBC密碼，可以刪除。爲了提高安全性，您還應該將密碼從最強到最弱，並在您的配置中設置SSLHonorCipherOrder on和SSLProtocol all -SSLv3。

Mozilla擁有一個用於生成安全Web服務器配置的簡潔工具，您可能會發現它很有用，特別是針對您的Apache和OpenSSL版本的modern cipher suite配置。之後，請嘗試Qualsys SSL Labs Test以瞭解您的工作方式。