☰

RHEL https의 SSL 중간 강도 암호화 제품군 지원(SWEET32) 취약성

tag-icon • tag-icon apache-httpd ssl
RHEL https의 SSL 중간 강도 암호화 제품군 지원(SWEET32) 취약성

RHEL 7.5 호스트가 플러그인 42873: TCP 포트 443의 "SSL Medium Strength Cipher Suites(SWEET32) 지원"에 취약하다는 것을 보여주는 Tenable Nessus 스캔 결과를 얻었습니다.

Tenable Nessus 보고서에 대한 자세한 내용은 다음과 같습니다.

Medium Strength Ciphers (> 64-bit and < 112-bit key, or 3DES)

    Name                          Code             KEX           Auth     Encryption             MAC
    ----------------------        ----------       ---           ----     ---------------------  ---
    EDH-RSA-DES-CBC3-SHA          0x00, 0x16       DH            RSA      3DES-CBC(168)          SHA1
    ECDHE-RSA-DES-CBC3-SHA        0xC0, 0x12       ECDH          RSA      3DES-CBC(168)          SHA1
    DES-CBC3-SHA                  0x00, 0x0A       RSA           RSA      3DES-CBC(168)          SHA1

The fields above are :

  {Tenable ciphername}
  {Cipher ID code}
  Kex={key exchange}
  Auth={authentication}
  Encrypt={symmetric encryption method}
  MAC={message authentication code}
  {export flag}

그래서 다음과 같이 "netstat -tulnp" 명령을 사용하여 해당 호스트에서 소스를 확인했습니다.

tcp6       0      0 :::443                  :::*                    LISTEN      67529/httpd

"ps 67529"의 출력은 대상이 여기에서 온 것임을 나타냅니다.

   PID TTY      STAT   TIME COMMAND
 67529 ?        Ss     0:00 /usr/sbin/httpd -DFOREGROUND

"httpd -v"에서 가져온 httpd 버전은 다음과 같습니다.

Server version: Apache/2.4.6 (CentOS)

이 취약점을 해결하기 위해 /etc/httpd/conf.d/ssl.conf 파일을 편집하고 다음 매개변수가 실제로 존재하는지 확인한 후 변경 사항을 적용하기 위해 결국 httpd를 다시 시작했습니다.

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite HIGH:3DES:!aNULL:!MD5:!SEED:!IDEA
SSLHonorCipherOrder on

그러나 Tenable Nessus로 다시 스캔한 후에도 보고서에는 여전히 이 취약점 플러그인 42873이 표시됩니다! 누구든지 도와줄 수 있나요? SSL 비밀번호 관련 내용을 처리하기 위해 어디를 편집해야 할지 잘 모르겠습니다.

조언이 있으시면 감사드립니다.

답변1

마지막으로 "SSLCipherSuite"의 내용을 다음과 같이 편집했습니다.

ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384

"SSLHonorCipherOrder"를 로 변경합니다 off.

문제가 해결되었습니다.

팁을 주신 @Steffen Ullrich에게 감사드립니다! ! !

관련 정보