Contact the vendor or consult product documentation to disable the weak algorithms 修复方案

修复方案：禁用弱加密算法（联系厂商或查阅文档）

由于不同软件/硬件设备的配置方式不同，禁用弱加密算法（如 DES、3DES、RC4、SHA1、MD5、SSLv3、TLS 1.0/1.1）的最佳方法是：

1. 查阅官方文档，获取安全配置指南。
2. 联系厂商支持，获取最新的安全补丁或配置建议。
3. 手动调整配置（如服务器、防火墙、VPN 设备等）。

---

1. 常见弱加密算法及协议

类型	不安全算法示例	替代方案
对称加密	DES, 3DES, RC4	AES-128/256-GCM, ChaCha20
哈希算法	MD5, SHA-1	SHA-256, SHA-3
密钥交换	RSA-1024, DH-1024	ECDHE, RSA-2048+, X25519
TLS/SSL 协议	SSLv3, TLS 1.0, TLS 1.1	TLS 1.2, TLS 1.3

---

2. 不同设备的修复方案

（1）Web 服务器（Nginx/Apache/Tomcat）

Nginx（禁用弱算法）

ssl_protocols TLSv1.2 TLSv1.3;  # 禁用 TLS 1.0/1.1
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
ssl_prefer_server_ciphers on;

生效：

nginx -t && systemctl restart nginx

Apache（禁用弱算法）

SSLProtocol TLSv1.2 TLSv1.3
SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder on

生效：

systemctl restart apache2

---

（2）数据库（MySQL/PostgreSQL）

MySQL（5.7+ 禁用弱加密）

-- 查看当前加密配置
SHOW VARIABLES LIKE '%ssl%';

-- 修改 my.cnf/my.ini
[mysqld]
tls_version = TLSv1.2,TLSv1.3
ssl-cipher = ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384

生效：

systemctl restart mysql

PostgreSQL（禁用弱加密）

# 修改 postgresql.conf
ssl_ciphers = 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384'
ssl_min_protocol_version = 'TLSv1.2'

生效：

systemctl restart postgresql

---

（3）VPN/防火墙设备（Cisco/华为/Check Point）

Cisco ASA（禁用弱加密）

crypto ikev2 policy 1
 encryption aes-256
 integrity sha512
 group 21  # secp521r1 (ECDHE)
 prf sha512

生效：

write memory

华为防火墙（禁用弱加密）

ike proposal IKE_PROPOSAL
 encryption-algorithm aes-256
 dh group19  # 256-bit ECDH
 integrity-algorithm sha2-512

生效：

commit

---

（4）编程语言（Java/Python/Go）

Java（禁用弱算法）

# 修改 JVM 参数
java -Djdk.tls.disabledAlgorithms="SSLv3, TLSv1, TLSv1.1, DES, 3DES, RC4" -jar app.jar

或修改 $JAVA_HOME/conf/security/java.security：

jdk.tls.disabledAlgorithms=SSLv3, TLSv1, TLSv1.1, DES, 3DES, RC4

Python（requests/urllib3）

import ssl
context = ssl.create_default_context()
context.minimum_version = ssl.TLSVersion.TLSv1_2  # 禁用 TLS 1.0/1.1

---

3. 联系厂商的标准流程

1. 查找官方文档（如 Cisco ASA 安全配置指南、Microsoft TLS 最佳实践）。

2. 提交支持请求（示例模板）：

   Subject: Request for Secure Cipher Suite Configuration
   Body:
   Hi Support Team,
   Our security scan detected weak encryption (e.g., TLS 1.1, 3DES) on [Product Name].
   Could you provide:

   1. Recommended cipher suite settings for [Product Version]?
   2. Any patches to enforce TLS 1.2+?
   3. Documentation on disabling SHA-1/MD5?

3. 验证修复（使用 openssl/nmap 测试）：

   openssl s_client -connect example.com:443 -tls1_1  # 应失败
   nmap --script ssl-enum-ciphers -p 443 example.com
   

---

4. 自动化检测工具

工具	用途	示例命令
testssl.sh	检测 SSL/TLS 配置	./testssl.sh example.com
Nmap	扫描开放加密套件	nmap --script ssl-enum-ciphers -p 443 example.com
Qualys SSL Labs	在线深度检测	https://www.ssllabs.com/ssltest/

---

📌 总结

1. 识别弱算法（DES/3DES/RC4/SHA1/TLS 1.0）。
2. 查阅文档 或 联系厂商 获取安全配置。
3. 更新配置（服务器/数据库/VPN/代码）。
4. 验证 确保弱算法已禁用。

通过以上步骤，可系统性消除弱加密风险！ 🔒