当我设置一个cronjob来每30天更新一次LetsEncrypt证书时，我可以设置公用密钥引脚吗？ 如果证书被更新，那么公钥密码也被更新了吗？
我读了关于针对TLS压缩的CRIME攻击（ CVE-2012-4929 ，CRIME是针对ssl＆tls的BEAST攻击的后继者），并且我想通过禁用SSL压缩来保护我的web服务器免受这种攻击2.2.22（见错误53219 ）。 我正在运行httpd-2.2.15的Scientific Linux 6.3。 httpd 2.2上游版本的安全修复应该被反向移植到这个版本。 # rpm -q httpd httpd-2.2.15-15.sl6.1.x86_64 # httpd -V Server version: Apache/2.2.15 (Unix) Server built: Feb 14 2012 09:47:14 Server's Module Magic Number: 20051115:24 Server loaded: APR 1.3.9, APR-Util 1.3.9 Compiled using: APR 1.3.9, APR-Util 1.3.9 我在configuration中closures了SSLCompression ，但是导致了以下错误信息： # /etc/init.d/httpd restart Stopping httpd: [ OK ] Starting […]
# LDAPTLS_CACERTDIR=/etc/ssl/certs/ ldapwhoami -x -ZZ -H ldaps://ldap.domain.tld ldap_start_tls: Can't contact LDAP server (-1) additional info: TLS error -8172:Peer's certificate issuer has been marked as not trusted by the user. # openssl s_client -connect ldap.domain.tld:636 -CApath /etc/ssl/certs <… successful tls negotiation stuff …> Compression: 1 (zlib compression) Start Time: 1349994779 Timeout : 300 (sec) Verify return […]
我有一个运行Apache 2.2.22的mod_ssl和OpenSSL v1.0.1的Ubuntu 12.04.2 LTS服务器。 在我的虚拟主机configuration（其中所有其他行为像我所期望的），我有的SSLProtocol线与-all +SSLv3 。 有了这个configuration，TLS 1.1＆1.2被启用并正常工作 – 这对我来说是非常直观的，因为我期望在给定configuration的情况下只能启用SSLv3。 我可以使用-/+TSLv1启用/禁用TLSv1，并且按预期工作。 但是+/-TLSv1.1和+/-TLSv1.2不是有效的configuration选项 – 所以我不能以这种方式禁用它们。 至于为什么我想要这样做 – 我正在处理一个第三方应用程序（我无法控制），有TLS启用的服务器有一些错误行为，我需要完全禁用它前进。
通常我根本不使用Internet Explorer。 我只在devise时使用它来进行接口testing（开发机器和未encryption的http）。 每周我都运行SSL实验室服务器testing，IE11能够访问我的网站。 今天，我发现我的第三方服务有问题。 某些特殊function不适用于Chrome或Firefox，因此我在Windows 7机器上启动了IE11。 而IE11显示我内置的错误页面女巫基本上只是说“页面不能显示”。 而典型的虚拟的bla bla像检查DNS等等。 整个错误页面上绝对没有encryption相关问题的迹象（就像普通浏览器所做的那样）。 回过头几个月，有一个schannel问题，阻止启用TLS1.2的IE访问HTTPS站点。 从那个时候，我的“IE浏览器的WTF清单”包含“禁用TLS1.2”作为检查点。 我应该怎么说… 禁用IE中的TLS1.2工作，我的网站再次可用 。 但是我不能在访问者浏览器上做到这一点。 现在到真正的问题： 为什么IE浏览器启用TLS 1.2时，Internet Explorer 11无法连接到我的HTTPS站点 ？ 以及如何解决它在服务器端？ SSL实验室告诉我，我的网站上一切正常 。 重要编辑：似乎IE11只能处理非前缀域，而不是TLS1.2启用时的前缀域。 没有前缀（www）的 域名 工作，而包含前缀（www）的域名不起作用 。 在服务器端我使用的是debian / 7 nginx / 1.7.8 openssl / 1.0.1e ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:-DES:!RC4:!MD5:!PSK:!aECDH:EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA
TLS是SSL的“新”版本吗？ 它添加了哪些function？它解决了什么安全问题？ 任何支持SSL的东西都支持TLS吗？ 什么将会涉及到开关？ 这个开关值得吗？ 为什么电子邮件是通过“Opportunistic TLS”和VPN通常称为SSL VPN发送的？ 技术方面是否有所不同，可能为“TLS VPN”产品线创造空间？
我有一个在RHEL4上运行Apache 2.0的Web服务器。 此服务器最近失败了PCI扫描。 原因：SSLv3.0 / TLSv1.0协议弱CBC模式漏洞解决scheme：此攻击在2004年以及后来对TLS协议的修订中得到确认，其中包含对此的修复。 如果可能，请升级到TLSv1.1或TLSv1.2。 如果无法升级到TLSv1.1或TLSv1.2，则禁用CBC模式密码将删除此漏洞。 在Apache中使用以下SSLconfiguration可缓解此漏洞：SSLHonorCipherOrder在SSLCipherSuite RC4-SHA上：HIGH：！ADH 简单的修复，我想。 我将这些行添加到了Apacheconfiguration中，但没有成功。 显然地 “SSLHonorCipherOrder On”仅适用于Apache 2.2及更高版本。 我试图升级Apache，很快就跑到依赖地狱，似乎我将不得不升级整个操作系统升级到Apache 2.2。 我们在几个月内退休，所以不值得。 该解决scheme说： “如果升级到TLSv1.1或TLSv1.2是不可能的，那么禁用CBC模式密码将消除此漏洞。” 我将如何在Apache 2.0上做到这一点？ 这甚至有可能吗？ 如果没有，还有其他的解决办法吗？
如今，OpenLDAP需要使用ldapmodify cn = config进行configuration，如下所述。 但是无处可查我们如何configuration它只接受TLSstream量。 我刚刚确认我们的服务器接受未encryption的stream量（使用ldapsearch和tcpdump）。 通常情况下，我只是closures与IP表的非SSL端口，但使用SSL端口已被弃用，显然，所以我没有这个选项。 所以，使用SSLconfiguration命令，像这样： dn: cn=config changetype:modify replace: olcTLSCertificateKeyFile olcTLSCertificateKeyFile: /etc/ssl/bla.key – replace: olcTLSCertificateFile olcTLSCertificateFile: /etc/ssl/bla.crt – replace: olcTLSCACertificateFile olcTLSCACertificateFile: /etc/ssl/ca.pem 有没有强制TLS的参数？ 编辑：我试过olcTLSCipherSuite，但它不起作用。 debugging输出： TLS: could not set cipher list TLSv1+RSA:!NULL. main: TLS init def ctx failed: -1 slapd destroy: freeing system resources. slapd stopped. connections_destroy: nothing to destroy. Edit2（几乎修复）：我能够通过加载来修复它： # […]
我的目标是确保连接到我的nginx的客户端的安全。 我正在遵循Mozilla的指南，在我的nginx安装中正确configurationTLS ，但是我没有概述在实际中使用的实际协议/密码套件。 我现在拥有的： server { listen 443; ssl on; ssl_certificate /path/to/signed_cert_plus_intermediates; ssl_certificate_key /path/to/private_key; ssl_dhparam /path/to/dhparam.pem; ssl_session_timeout 5m; ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_ciphers 'the_long_ciphersuite_listed_there'; ssl_prefer_server_ciphers on; ssl_session_cache shared:SSL:50m; } 有了这个，我想logging哪个SSL协议被用于连接，以及在客户机/服务器协商后select了哪个密码组。 例如： 10.1.2.3 – – [13/Aug/2014:12:34:56 +0200] "GET / HTTP/1.1" 200 1234 "-" "User agent bla" 至 10.1.2.3 – – [13/Aug/2014:12:34:56 +0200] ECDHE-RSA-AES128-GCM-SHA256 TLSv1.2 "GET / […]
我正在尝试设置logstash转发器，但在创build适当的安全通道方面存在问题。 尝试使用两个在virtualbox中运行的ubuntu（服务器14.04）机器进行configuration。 他们是100％干净（没有触及主机文件或安装除了所需的java，ngix，elastisearch等用于logstash的其他软件包） 我不认为这是一个logstash问题，但是在logstash ubuntu或转发器机器上不正确的处理证书或者没有设置正确的。 我生成的密钥： sudo openssl req -x509 -batch -nodes -newkey rsa:2048 -keyout private/logstash-forwarder.key -out certs/logstash-forwarder.crt 我在logstash服务器上的inputconf： input { lumberjack { port => 5000 type => "logs" ssl_certificate => "/etc/pki/tls/certs/logstash-forwarder.crt" ssl_key => "/etc/pki/tls/private/logstash-forwarder.key" } } 密钥被复制到具有以下configuration的转发主机 。 { "network": { "servers": [ "192.168.2.107:5000" ], "timeout": 15, "ssl ca": "/etc/pki/tls/certs/logstash-forwarder.crt" "ssl key": "/etc/pki/tls/certs/logstash-forwarder.key" }, […]