Как отключить устаревшие шифры [закрыто]

Содержание

Вопрос или проблема
Ответ или решение
Как отключить устаревшие шифры: Подробное руководство
1. Определите используемую платформу
2. Проведите анализ используемых шифров
3. Отключение устаревших шифров
4. Тестирование изменений
5. Мониторинг и обновление
Заключение

Вопрос или проблема

Я выполнил внешний сканер уязвимостей на публичном IP-адресе, и он сообщил о критической уязвимости с следующими деталями

NVT: SSL и TLS – SSL/TLS: сообщить о уязвимых шифрах для HTTPS.

Он содержит сводку о некоторых устаревших версиях TLS и SSL, которые используются. Я пытаюсь выяснить, как отключить эти устаревшие шифры. Это будет касаться настройки межсетевого экрана?

Ответ или решение

Как отключить устаревшие шифры: Подробное руководство

В условиях современного киберугроз, настройка безопасности серверов и сетей становится первоочередной задачей. Один из важных аспектов этой работы — отключение устаревших шифров, которые могут подвергать вашу систему рискам. Данное руководство даст вам полное понимание этого процесса.

1. Определите используемую платформу

Прежде всего, определите, на каком программном обеспечении или системе работают ваши серверы. Наиболее распространенные платформы:

Apache
Nginx
Microsoft IIS
Tomcat
Node.js

Выбор платформы определяет, какие конфигурационные файлы необходимо изменять.

2. Проведите анализ используемых шифров

Для начала проведите анализ текущих шифров, чтобы определить, какие из них устарели и подлежат отключению. Это можно сделать с помощью инструментов, таких как:

Qualys SSL Labs
Nmap с опцией для проверки шифров
OpenSSL для местного тестирования

3. Отключение устаревших шифров

3.1. На Apache

Чтобы отключить устаревшие шифры на сервере Apache, вам необходимо отредактировать файл конфигурации, обычно находящийся по адресу /etc/httpd/conf.d/ssl.conf или /etc/apache2/sites-available/default-ssl.conf. Найдите строку, начинающуюся с SSLCipherSuite, и обновите её следующим образом:

SSLCipherSuite HIGH:!aNULL:!MD5:!3DES:!RC4:!RC2
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1

После внесения изменений не забудьте перезапустить сервер:

sudo systemctl restart apache2  # для Debian/Ubuntu
sudo systemctl restart httpd    # для CentOS/RHEL

3.2. На Nginx

Для сервера Nginx изменения вносятся в файл конфигурации, который обычно находится в /etc/nginx/nginx.conf или в отдельном файле конфигурации виртуального хоста. Найдите строку ssl_ciphers и скорректируйте её:

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'HIGH:!aNULL:!MD5:!3DES:!RC4:!RC2';

После изменений перезапустите Nginx:

sudo systemctl restart nginx

3.3. На Microsoft IIS

Откройте Менеджер IIS.
Перейдите к Mail Israel вашего сайта и нажмите на SSL Settings.
Отключите устаревшие версии шифрования через редактирование реестра или с помощью PowerShell:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp" -Name "DefaultSecureProtocols" -Value 0xA00

3.4. На Tomcat

Для Tomcat отредактируйте файл server.xml, который обычно находится в /opt/tomcat/conf/. Найдите раздел <Connector> и измените параметры ciphers и sslProtocol, как следуюет:

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS"
           ciphers="HIGH:!aNULL:!MD5"/>

3.5. На Node.js

В Node.js для отключения устаревших шифров используйте следующий код:

const https = require('https');

const options = {
  key: fs.readFileSync('your-key.pem'),
  cert: fs.readFileSync('your-cert.pem'),
  ciphers: 'HIGH:!aNULL:!MD5:!3DES:!RC4',
  secureProtocol: 'TLSv1_2_method'
};

https.createServer(options, (req, res) => {
  res.writeHead(200);
  res.end('Hello World!');
}).listen(443);

4. Тестирование изменений

После настройки рекомендуется снова провести сканирование с помощью инструментов, упомянутых ранее, чтобы убедиться, что устаревшие шифры действительно отключены и что ваша система защищена.

5. Мониторинг и обновление

Безопасность – это непрерывный процесс. Регулярно проверяйте свои настройки и обновления, чтобы поддерживать уровень безопасности на текущем уровне.

Заключение

Вы отключили устаревшие шифры и сделали важный шаг к улучшению безопасности своей сети. Этот процесс требует внимательности и регулярного контроля, чтобы гарантировать защиту данных и уменьшить риски. Если вам понадобятся дополнительные советы или информация, не стесняйтесь обращаться к профессиональным сообществам и ресурсам по вопросам безопасности.