带有RSA和ECDSA密码的TLS 1.2

Question

Microsoft报告说，它将只使用下列密码之一支持TLS 1.2：

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

https://docs.microsoft.com/en-us/power-platform/admin/server-cipher-tls-requirements

然而，当我测试我的网站的TLS密码时，我看到最近的同类报告为"ECDSA“，而不是"RSA”。例如：

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

我正在测试的端点是Cloudflare。他们的密码列表表示支持RSA，但是当我在ssllabs.com上测试它时，我没有在列表中看到RSA。

https://developers.cloudflare.com/ssl/ssl-tls/cipher-suites

ECDSA和RSA等价吗？这种差异会导致微软的问题吗？

Answer 1

RSA和ECDSA不是等价的术语，而是今天证书签名的两个主要选择。

RSA在TLS的使用中非常流行(大部分是基于传统的)，但是ECDSA是一个非常有效的选择，而且可能更前瞻。

Microsoft Power Platform文档仅列出RSA "track“的密码套件要求(可能是因为它的受欢迎程度)，而且他们的总体观点很清楚，他们拒绝过时的TLS参数。然而，不允许ECDSA确实不符合这种情绪，如果他们拒绝ECDSA，总体来说会有点奇怪。

也许这只是一个文档疏忽，但您可能应该让他们澄清情况；ECDSA很有可能起作用，但假设他们的文档是错误的，然后可能会把地毯从你的脚下挪开，这并不好。

否则，看看Cloudflare是否可以为您提供基于RSA的证书，或者自己提供这样的证书。

Answer 2

ECDSA和RSA等价吗？

不是的。只有当证书具有RSA公钥时，才能使用RSA密码。ECDSA密码只能使用具有ECC公钥的证书。如果要使用所需的密码，则必须将证书更改为具有RSA公钥的证书。

这种差异会导致微软的问题吗？

由于您引用的部分中没有任何内容表明他们也将接受ECDSA密码，因此这并不是不可能引起问题的。