web-dev-qa-db-ja.com

openJDK1.8を使用したWASリバティサーバーで中強度暗号の使用を回避する方法

良い一日、

私はIBMWASリバティサーバーを持っています。これはOSredhat linuxの下にあり、openjdkバージョン1.8.0_242です。

このサーバーが中程度の強度の暗号を使用していることについて不平を言うpentestレポートを受け取りました。また、pentestレポートでは、代わりにTLS 1.2スイート以上でAES-GCMを使用することをお勧めしています。

現在、私のサーバーはTLSv1.2のみを有効にしています。

最初に質問したいのは、サーバーで中強度の暗号を無効化/削除するにはどうすればよいですか？

2つ目は、このサーバーが中程度の強度の暗号を使用しているかどうかを確認する方法を知りたいです。変更したものが中強度の暗号を無効化/削除したかどうかを知ることができるようにします。

次のようにopensslコマンドを試しました。

openssl s_client -connect 10.7.5.65:9443 -tls1_2

私が得る結果は次のとおりです：

Peer signing digest: SHA512
Server Temp Key: DH, 1024 bits
---
SSL handshake has read 1710 bytes and written 479 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES128-GCM-SHA256
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : DHE-RSA-AES128-GCM-SHA256

結果にDHE-RSA-AES128-GCM-SHA256が表示されましたが、これはサーバーが中程度の強度の暗号を使用していることを示していますか？

別の方法は、この投稿を参照する方法です 特定のWebサイトが提供するSSL/TLS暗号スイートを一覧表示するにはどうすればよいですか？ 、スクリプトを実行すると、暗号が1つずつ表示され、暗号が表示されるかどうかがわかります。 sslハンドシェイクに失敗したかどうか、このサーバーが中程度の強度の暗号を持っているかどうかをここから知ることができますか？

私も何かを試しました。その1つは、jvm Java.securityを編集して、3DES_EDE_CBCのjdk.tls.legacyAlgorithmsを削除し、サーバーを再起動しますが、openssl s_client -connect 10.7.5.65:9443 -tls1_2コマンドでも同じ結果になります。したがって、それが問題を修正するかどうかはわかりません。

親切に助けてアドバイスしてください。

linuxsslopensslcipher
1
Panadol Chong

多くのアプリケーションサーバーには、弱いチッパースイートを無効にする独自の構成プロパティがあります。ただし、JREレベルでポリシーを適用できます。 Java.securityファイルのプロパティjdk.tls.disabledAlgorithms特定のアルゴリズムを無効にするために使用されます。例えば：

jdk.tls.disabledAlgorithms=SSLv3, DES, DESede, RC4, MD5withRSA, DH keySize < 768, EC keySize < 224

最後に、必要なセキュリティ構成が整ったら、 https://www.ssllabs.com/ssltest/index.html などのオンラインサービスの1つ、または-などのオフラインツールを使用できます。 https://testssl.sh/ セットアップを検証します。

1
kofemann