Zayıf şifreleme seçenekleri sunuluyor

ÖnemOrta

KapsamTüm site

EmekOrta

DoğrulamaGüvenlik taraması (haftalık ya da Yeniden tara)

Kural anahtarısec_tls_weak_ciphers

Kısa cevap

Derin TLS testinde sunucunuz en az bir zayıf şifre ailesini (NULL ya da anonim şifreler, EXPORT düzeyi, düşük güçlü DES/RC2/RC4 veya 3DES/IDEA) kabul etti ya da hiç ileri gizlilikli anahtar değişimi sunmadı. Modern tarayıcılar bunları nadiren seçer, ama isteyen herkese açık kalırlar. Sunucuyu AES-GCM ya da ChaCha20-Poly1305 ile ECDHE anahtar değişimine sınırlayın.

Neden önemli

NULL ve anonim takımlar şifreleme ya da kimlik doğrulama sağlamaz; EXPORT ve DES doğrudan kırılabilir; RC4 ve 3DES istatistiksel saldırılara yenik düşer (RC4 sapmaları ve 3DES gibi 64 bitlik blok şifrelere karşı Sweet32). İleri gizlilik (ECDHE ya da DHE anahtar değişimi) olmadan, özel anahtarınızı sonradan ele geçiren biri daha önce kaydettiği trafiği çözebilir. Sıralamaya etkisi yoktur; amaç kaydedilmiş ya da düşürülmüş bağlantıların okunamaz kalmasıdır.

Glimana bunu nasıl tespit eder

Eski protokol kontrolündeki aynı derin TLS testi (testssl.sh, yalnız el sıkışma) sunucunuzun kabul ettiği şifre ailelerini listeler. Sunucu NULL, anonim (aNULL), EXPORT, LOW (DES, RC2, RC4) ya da 3DES/IDEA takımlarını kabul ediyorsa veya hiç ileri gizlilikli takım sunmuyorsa kontrol orta önemle başarısız olur. İleri gizlilikli takımların yanında sunulan CBC kipli takımlar tek başına kontrolü düşürmez. Derin test yokken kontrol Henüz çalışmıyor, test tamamlanamazsa Ölçülemedi olarak görünür.

Nasıl düzeltilir

Dikkat

Şifre dizesini elle düzenlemek yerine eksiksiz, denenmiş bir ayarı kopyalayın (Mozilla'nın üreticisi, Intermediate profili): eksik bir ! gibi tek bir yanlış öğe koca bir aileyi yeniden açabilir. 3DES'i kaldırmak yalnız Windows XP'deki Internet Explorer 8 gibi istemcileri dışarıda bırakır; gerçekte kullanılan hiçbir şey artık ona bağlı değil.

Glimana'da bulguyu bulun. Güvenlik sayfasını açın; bu kontrol Sertifika ve HTTPS grubunda, son taramanın kanıtı başlığının altında. Aynı sorun Sorunlar › Zayıf şifreleme seçenekleri sunuluyor altında da listelenir.
Düzeltmeyi platformunuzda uygulayın.

NginxApacheCloudflare

http bloğunda (Mozilla Intermediate tarzı):
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;
TLS 1.3 takımlarının hepsi güçlüdür ve ssl_ciphers ile denetlenmez. sudo nginx -t && sudo systemctl reload nginx ile yeniden yükleyin.

Genel SSL ayarında:
SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLHonorCipherOrder off
Ardından sudo apachectl configtest çalıştırıp Apache'yi yeniden yükleyin.

Vekil kayıtlarda (turuncu bulut) ziyaretçi Cloudflare'in ucuna bağlanır; ucun varsayılan şifre listesi bu kontrolün aradığı zayıf aileleri içermez, kendi ölçümlerimizde vekil siteler bu kontrolden geçiyor. Vekil bir site yine de işaretleniyorsa uç şifre listesi elle değiştirilmiştir (SSL/TLS › Edge Certificates › Cipher suites, Advanced Certificate Manager ayarı): varsayılana ya da Modern profile geri alın. Daha sık görülen durum, taranan adresin yalnız DNS (gri bulut) kaydı olmasıdır; bu kayıt kaynak sunucunuzun şifrelerini açığa çıkarır ve Nginx ya da Apache ayarıyla düzeltilir.
Glimana'da kontrol edin. Güvenlik sayfasında Yeniden tara düğmesine basın (saatte en çok iki tarama) ya da pazar günkü haftalık taramayı bekleyin; kontrol geçince sorun kapanır.

Düzeltme nasıl doğrulanır

Güvenlik sayfasında Yeniden tara düğmesine basın (ya da pazar günkü haftalık taramayı bekleyin); kontrol geçtiğinde sorun kapanır.