Weak cipher suites

Bonjour,

J'ai cree un client/server avec encryption SSL utilisant des SSLServerSocket.

Voila la creation server par ex.

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19

KeyManagerFactory kmf; KeyManager[] km; KeyStore ks; TrustManagerFactory tmf; TrustManager[] tm; SSLContext sslc; ks = KeyStore.getInstance("JKS"); ks.load(Values.class.getResourceAsStream("ServerKeystore"),"password".toCharArray()); kmf = KeyManagerFactory.getInstance("sunx509"); kmf.init(ks, "password".toCharArray()); km = kmf.getKeyManagers(); tmf = TrustManagerFactory.getInstance("sunx509"); tmf.init(ks); tm = tmf.getTrustManagers(); sslc = SSLContext.getInstance("TLS"); sslc.init(km, tm, null); SSLServerSocketFactory ssf = sslc.getServerSocketFactory(); return (SSLServerSocket) ssf.createServerSocket(port);

---

Les keystores sont crees avec keytool.
Voici les cipher suites que j'obtiens de ma socket:

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51

------enabled----------- SSL_RSA_WITH_RC4_128_MD5 SSL_RSA_WITH_RC4_128_SHA TLS_RSA_WITH_AES_128_CBC_SHA TLS_DHE_RSA_WITH_AES_128_CBC_SHA TLS_DHE_DSS_WITH_AES_128_CBC_SHA SSL_RSA_WITH_3DES_EDE_CBC_SHA SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA SSL_RSA_WITH_DES_CBC_SHA SSL_DHE_RSA_WITH_DES_CBC_SHA SSL_DHE_DSS_WITH_DES_CBC_SHA SSL_RSA_EXPORT_WITH_RC4_40_MD5 SSL_RSA_EXPORT_WITH_DES40_CBC_SHA SSL_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA SSL_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA ------supported----------- SSL_RSA_WITH_RC4_128_MD5 SSL_RSA_WITH_RC4_128_SHA TLS_RSA_WITH_AES_128_CBC_SHA TLS_DHE_RSA_WITH_AES_128_CBC_SHA TLS_DHE_DSS_WITH_AES_128_CBC_SHA SSL_RSA_WITH_3DES_EDE_CBC_SHA SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA SSL_RSA_WITH_DES_CBC_SHA SSL_DHE_RSA_WITH_DES_CBC_SHA SSL_DHE_DSS_WITH_DES_CBC_SHA SSL_RSA_EXPORT_WITH_RC4_40_MD5 SSL_RSA_EXPORT_WITH_DES40_CBC_SHA SSL_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA SSL_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA SSL_RSA_WITH_NULL_MD5 SSL_RSA_WITH_NULL_SHA SSL_DH_anon_WITH_RC4_128_MD5 TLS_DH_anon_WITH_AES_128_CBC_SHA SSL_DH_anon_WITH_3DES_EDE_CBC_SHA SSL_DH_anon_WITH_DES_CBC_SHA SSL_DH_anon_EXPORT_WITH_RC4_40_MD5 SSL_DH_anon_EXPORT_WITH_DES40_CBC_SHA TLS_KRB5_WITH_RC4_128_SHA TLS_KRB5_WITH_RC4_128_MD5 TLS_KRB5_WITH_3DES_EDE_CBC_SHA TLS_KRB5_WITH_3DES_EDE_CBC_MD5 TLS_KRB5_WITH_DES_CBC_SHA TLS_KRB5_WITH_DES_CBC_MD5 TLS_KRB5_EXPORT_WITH_RC4_40_SHA TLS_KRB5_EXPORT_WITH_RC4_40_MD5 TLS_KRB5_EXPORT_WITH_DES_CBC_40_SHA TLS_KRB5_EXPORT_WITH_DES_CBC_40_MD5

---

Apres un test de securite, j'ai comme reponse que j'utilise des "weak cipher suites", et que je devrais utiliser que celles "fortes".

N'etant pas pro dans le domaine, je prefere vous demander votre avis pour savoir quoi changer.
Je peux activer/desactiver celles de la liste. Cela resoudrai le prob ? Lequelles ?

Merci d'avance.

Les "cipher suite" sont considérées comme étant weak :

• TLS_RSA_WITH_DES_CBC_SHA
• TLS_DHE_DSS_WITH_DES_CBC_SHA
• TLS_DHE_RSA_WITH_DES_CBC_SHA
• TLS_RSA_EXPORT1024_WITH_DES_CBC_SHA
• TLS_RSA_EXPORT1024_WITH_RC4_56_SHA
• TLS_DHE_DSS_EXPORT1024_WITH_RC4_56_SHA
• TLS_DHE_DSS_EXPORT1024_WITH_DES_CBC_SHA
• TLS_RSA_EXPORT_WITH_RC4_40_MD5
• TLS_RSA_EXPORT_WITH_DES40_CBC_SHA
• TLS_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA
• TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA

A mon avis, en les supprimmant, tu ne devrais plus avoir d'alerte de sécurité. Par contre, ça restreint un peu le champ des encryptions possibles, mais ce n'est pas une mauvaise idée étant donné que ces encryptions sont considérées comme obsolètes.

Cool :D

Je vais donc desactiver que celles que tu as liste.

Merci !

edit: petit prob: aucune que tu as liste n'est ds mes listes :)

J'ai active que celles ci et le test est passe.

Code:

---

1 2 3 4 5 6 7

LS_RSA_WITH_AES_128_CBC_SHA TLS_DHE_RSA_WITH_AES_128_CBC_SHA TLS_DHE_DSS_WITH_AES_128_CBC_SHA TLS_DHE_RSA_WITH_AES_128_CBC_SHA TLS_DHE_DSS_WITH_AES_128_CBC_SHA TLS_DH_anon_WITH_AES_128_CBC_SHA

---

Merci.