Nous utilisons le mécanisme d'échange de clés RSA pour le certificat SSL. Comment puis-je changer cela en DHE_RSAou ECDHE_RSA?
En raison de l'utilisation de RSA, nous recevons l'avertissement ci-dessous en chrome
Votre connexion au site Web est cryptée avec une cryptographie obsolète
J'utilise Windows Server 2012 IIS 8.
Réponses:
Tout d'abord pour répondre spécifiquement à votre question;
"Comment puis-je changer cela en DHE_RSA ou ECDHE_RSA?"
La solution la plus simple est de télécharger IIS Crypto et de le laisser faire le travail dur pour vous.
Pour utiliser DHE_RSA ou ECDHE_RSA, vous devrez réorganiser les préférences de la suite de chiffrement dans le volet inférieur gauche de la fenêtre IIS Crypto. J'ai actuellement défini la suite de chiffrement suivante comme ma préférence la plus élevée;
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521
Vous souhaiterez également définir correctement l'ordre du reste et désactiver certaines des entrées. Je suggérerais fortement d'utiliser le bouton «Meilleures pratiques», car il le fera pour vous. Il désactivera également le protocole SSL3.0 et inférieur, ainsi que tous les chiffrements de chiffrement autres que 3DES et AES 128/256. Vous devez être conscient qu'en faisant cela, vous risquez de provoquer des problèmes de compatibilité avec les très anciens clients (pensez à IE6 sur XP et ci-dessous). Avec la plupart des bases de clients, cela ne devrait pas être un problème de nos jours, mais certaines parties du monde utilisent encore des logiciels plus anciens comme celui-ci.
La deuxième partie de ma réponse fait référence à votre désir de supprimer l'avertissement que la dernière version de Chrome affiche;
Votre connexion au site Web est cryptée avec une cryptographie obsolète
C'est plus difficile à réaliser. Même après avoir changé pour ECDHE_RSA ou DHE_RSA, vous verrez toujours l'avertissement. En effet, Chrome considère AES en mode CBC comme obsolète. La façon de changer cela consiste à utiliser AES en mode GCM à la place, mais pour ce faire, vous devrez vous assurer que vous avez d'abord corrigé votre serveur avec le correctif ci-dessous. Ce correctif a introduit quatre nouvelles suites de chiffrement, dont deux feront ce dont nous avons besoin ici.
Avant de vous donner le lien, cela vient avec un avertissement de santé . Ce correctif a été retiré par Microsoft en novembre en raison d'une multitude de problèmes. Je ne sais pas encore s'il est désormais considéré comme sûr à utiliser, ni dans quelles conditions. J'ai essayé de me découvrir (voir cette question SF )
À utiliser à vos risques et périls!
Le correctif est KB2992611
Une fois installé, vous pouvez maintenant utiliser IIS Crypto pour placer la suite de chiffrement suivante en haut de la liste;
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
Chrome en sera satisfait. Le seul inconvénient de cette suite est que vous perdez les propriétés de la courbe elliptique associées à ECDHE plutôt qu'à DHE. Cela n'affecte pas la sécurité, mais affecte les performances du serveur et du client lors de l'échange de clés. Vous devrez évaluer si ce compromis en vaut la peine pour votre cas d'utilisation particulier.
Enfin , il est également possible d'y parvenir en utilisant l'une des suites de chiffrement qui combinent AES GCM avec ECDHE / ECDSA, par exemple
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521
Cependant, cela ne fonctionnera que si vous avez obtenu un certificat SSL qui utilise ECDSA pour générer votre clé publique / privée au lieu de RSA. Ceux-ci sont encore relativement rares (lire: chers) et peuvent entraîner des problèmes de compatibilité avec le client. Je n'ai pas expérimenté cette option moi-même et je ne peux donc en parler avec aucune autorité.
Enfin, enfin (vraiment, enfin). Après tout ce qui précède, je ne m'en inquiéterais pas. Je vais continuer à utiliser AES CBC sur mes boîtiers IIS dans un avenir prévisible. Chrome affiche uniquement l'avertissement susmentionné si l'utilisateur choisit de cliquer et de regarder les détails TLS, il n'y a aucune indication sinon simplement en regardant la symbologie de la barre d'adresse.
J'espère que cela vous aide, et excuses pour cet essai! ;-)
Le moyen le plus simple que je connaisse pour changer l'ordre des suites de chiffrement dans Windows est d'utiliser le petit outil IIS Crypto
Cependant, le message que vous obtenez dans Chrome n'est probablement pas lié à cela.
Your connection to website is encrypted with obsolete cryptographys'affiche lorsque votre certificat ou ses parents ont un algorithme de signature de sha1. Vérifiez d'abord et remplacez peut-être ce certificat