windows服务器下支持 SSL 中等强度密码组 (SWEET32)漏洞修复

在这里插入图片描述
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384,
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,
TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA

单击“确定”

关闭组策略对象编辑器。

以上操作后需要重启服务器使其生效。

### 如何在系统或应用中禁用中等强度加密算法 为了有效应对支持 SSL 中等强度密码SWEET32)高危漏洞,采取措施禁用这些弱加密算法是非常必要的[^3]。具体操作如下: #### 对于 OpenSSL 的配置文件修改 如果应用程序依赖于 OpenSSL 库,则可以通过编辑 OpenSSL 配置文件来实现这一目标。 ```bash # 找到并打开OpenSSL配置文件,通常位于/etc/ssl/openssl.cnf 或 /usr/local/ssl/openssl.cnf vi /etc/ssl/openssl.cnf ``` 在 `[ system_default_sect ]` 下面添加一行指定要排除的密码套件: ```ini CipherString = DEFAULT@SECLEVEL=2 ``` 这行设置会强制使用更严格的安全级别,并自动屏蔽掉所有被认为是不够强壮的加密方法[^2]。 #### 修改 Web 服务器设置 对于基于 Apache HTTP Server 和 Nginx 这样的 web server,在其配置文件内调整 `SSLProtocol` 及 `SSLCipherSuite` 参数也可以达到相同的效果。 ##### Apache Httpd 示例: ```apache <VirtualHost *:443> ... SSLProtocol all -SSLv2 -SSLv3 -TLSv1 SSLCipherSuite HIGH:!aNULL:!MD5:!RC4:!DES:CAMELLIA:+AES256:@STRENGTH </VirtualHost> ``` ##### Nginx 示例: ```nginx server { listen 443 ssl; ... ssl_protocols TLSv1.2 TLSv1.3; # 确保仅启用最新版本协议 ssl_ciphers 'EECDH+CHACHA20:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5'; } ``` 上述更改将确保只有高强度的加密方式被允许用于 HTTPS 流量传输[^4]。 #### Java 应用程序中的 JVM 参数设定 针对运行在 Java 虚拟机上的服务端软件,还可以通过启动参数的方式控制可用的加密策略: ```shell -Dhttps.cipherSuites="TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384" ``` 此选项限定了 JRE 在建立安全连接时可选的特定几种强加密方案[^1]。 完成以上任意一种或多种合的操作之后,请记得重启相应服务使新配置生效,并利用工具如 nmap、testssl.sh 来验证变更是否成功实施以及确认不再提供任何低等级加密支持
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值