¿Qué cifrados TLS deberíamos desactivar?

Todo lo que no tenga secreto hacia adelante o cifrado autenticado, y todo lo de las listas antiguas. En la práctica: desactive RC4, que la RFC 7465 prohíbe en TLSTLS: Transport Layer Security. El cifrado que protege la mayor parte del tráfico de internet, como HTTPS., 3DES y otros cifrados de bloque de 64 bits, los cifrados de exportación y NULL, el intercambio de claves RSA estático y los conjuntos en modo CBC con SHA-1 si sus clientes lo permiten. Mantenga los conjuntos de TLS 1.3, AES-GCM y ChaCha20-Poly1305, y para TLS 1.2 use intercambio ECDHE con AES-GCM o ChaCha20-Poly1305. Use guías de configuración publicadas en lugar de inventar la suya: las recomendaciones de TLS del lado del servidor de Mozilla y las guías del CCN o las directrices técnicas de la BSI alemana ofrecen perfiles probados para clientes modernos y antiguos. Antes de cambiar un servidor de producción, compruebe qué clientes se conectan y qué ofrecen, con los registros del servidor o una vista de los handshakes, para no dejar fuera un equipo antiguo. Después vuelva a probar desde fuera con un escáner TLS y active el grupo híbrido X25519MLKEM768 donde su software lo admita.

← Las 40 preguntas sobre Cifrado y tráfico cifradoTodos los temas