修复Ubuntu 16 sweet32漏洞

Question

当做PCI扫描时，我们的TLS服务器与apache和nginx已标记失败，对64位块大小漏洞(Sweet32)的ubuntu16密码的生日攻击。

威胁:块大小为64位的传统块密码在CBC模式下使用时容易受到实际冲突攻击。所有版本的SSL/TLS协议都支持使用DES、3DES、IDEA或RC2作为对称加密密码的密码套件。

以下是扫描中提到的详细信息。有没有人能够在Ubuntu16中应用相同的修复程序？

IMPACT:
Remote attackers can obtain cleartext data via a birthday attack against a long-duration encrypted session.

SOLUTION:
Disable and stop using DES, 3DES, IDEA or RC2 ciphers.
More information can be found at Microsoft Windows TLS changes docs and Microsoft Transport Layer Security (TLS) registry settings

RESULT:
CIPHER
KEY-EXCHANGE AUTHENTICATION MAC ENCRYPTION(KEY-STRENGTH) GRADE
TLSv1.2 WITH 64-BIT CBC CIPHERS IS
SUPPORTED
DES-CBC3-SHA RSA RSA SHA1 3DES(168) MEDIUM
EDH-RSA-DES-CBC3-SHA DH RSA SHA1 3DES(168) MEDIUM
ECDHE-RSA-DES-CBC3-SHA ECDH RSA SHA1 3DES(168) MEDIUM

Answer 1

在这样一个旧系统上，您需要排除这些东西，或者只使用AES：

SSLCipherSuite "AES:!aNULL:!eNULL:!EXP"