Quali cifrari TLS dovremmo disattivare?

Tutto ciò che non offre forward secrecy o cifratura autenticata, e tutto ciò che compare nelle vecchie liste. In pratica: disattivi RC4, che la RFC 7465 vieta in TLSTLS: Transport Layer Security. La cifratura che protegge gran parte del traffico internet, come HTTPS., 3DES e gli altri cifrari a blocchi da 64 bit, i cifrari export e NULL, lo scambio di chiavi RSA statico e le suite in modalità CBC con SHA-1 se i Suoi client lo consentono. Mantenga le suite di TLS 1.3, AES-GCM e ChaCha20-Poly1305, e per TLS 1.2 usi lo scambio ECDHE con AES-GCM o ChaCha20-Poly1305. Si affidi a guide di configurazione pubblicate invece di inventarne di proprie: le raccomandazioni Server Side TLS di Mozilla e le linee guida tecniche di agenzie come la tedesca BSI offrono profili collaudati per client moderni e meno recenti. Prima di modificare un server di produzione, verifichi quali client si collegano e che cosa offrono, dai log del server o da una vista degli handshake, per non escludere un vecchio dispositivo. Poi ripeta il test dall'esterno con uno scanner TLS e attivi il gruppo ibrido X25519MLKEM768 dove il Suo software lo supporta.

← Tutte le 40 domande su Crittografia e traffico cifratoTutti i temi