A partir de hoy, Chrome finalmente deja de admitir cifrados RC4.

¿Alguien sabe cuál es la lista recomendada de cifrados en un <Connector> para servidores que no son APR? Todavía tengo que encontrar una fuente definitiva.

Para obtener puntos de bonificación, ¿se debe desactivar algún protocolo SSL? (¿Algunos artículos antiguos dicen que deshabilite SSLv2?)

0
Greg 29 ene. 2016 a las 19:24

2 respuestas

La mejor respuesta

Google tiene lotes de excelente resultados si solo busca cifrados tls recomendados.

Corto y dulce:

  1. Desactive SSLv2, SSLv2Hello (no es un protocolo real) y SSLv3; considere deshabilitar TLSv1
  2. Deshabilite cualquier cosa que use el cifrado RC4
  3. Deshabilite cualquier cosa usando hash MD5
  4. Deshabilite cualquier conjunto de cifrado con menos de 128 bits para el cifrado simétrico
  5. No use claves RSA de menos de 3072 bits, considere usar 4k
  6. Coloque los cifrados en orden de preferencia, con cifrados de mayor calidad primero
  7. Asegúrese de habilitar el "orden de cifrado del servidor de honor" para usar siempre los mejores cifrados que acaba de configurar
2
Community 17 mar. 2017 a las 10:45

APR / non APR no tiene nada que ver, la lista es la misma para ambos, aunque la sintaxis es diferente.

Quite los cifrados RC4, al menos.

Sun / Oracle Java JSSE nunca ha implementado SSLv2.

0
Marquis of Lorne 29 ene. 2016 a las 18:08