目次

はじめに

どのように Cisco ESA および CES の TLSv1.0 を有効に することができますか。

グラフィカル ユーザ インターフェイス

コマンド行インターフェイス

暗号

関連情報

概要

この資料に Cisco E メール セキュリティ アプライアンス（ESA）および Cisco クラウド E メール セキュリティ（CES）アロケーションの Transport Layer Security バージョン 1.0 （TLSv1.0）を有効に する方法を記述されています。

どのように Cisco ESA および CES の TLSv1.0 を有効に することができますか。

注: 提供される Cisco CES アロケーションに TLSv1.0 プロトコルの脆弱性影響によるセキュリティ要件によってデフォルトで無効に なる TLSv1.0 があります。 これには SSLv3 共用暗号スイートのすべての使用を取除くために暗号ストリングが含まれています。

注意： 会社の特定のセキュリティポリシーおよびユーザー設定に基づく SSL/TLS メソッドおよび暗号は一定です。 暗号に関するサードパーティの情報については、推奨されるサーバ設定と詳細情報が記載された Mozilla のドキュメント「Security/Server Side TLS」を参照してください。

Cisco ESA か CES の TLSv1.0 を有効に するために、グラフィカル ユーザインターフェイス（GUI）または Command Line Interface （CLI）からそうすることができます。

注: CLI の CES へのアクセスを得るために検討して下さい: クラウド E メール セキュリティ（CES）ソリューションの Command Line Interface （CLI）にアクセスする方法

グラフィカル ユーザ インターフェイス

1. GUI へのログ。

2. システム 管理 > SSL 設定への移動。

3. 『Edit Settings』 を選択 して下さい。

4. TLSv1.0 ボックスをチェックして下さい。 ブリッジングプロトコル TLSv1.1 がまたイメージに示すように有効に ならなければ TLSv1.2 が TLSv1.0 と共に有効に することができないことに注意することは重要であり、:

コマンドライン インターフェイス

1. コマンド sslconfig を実行して下さい。

2. どの項目のための TLSv1.0 を有効に したいと思うかによってコマンド GUI をか受信または送信実行して下さい:

(Cluster Hosted_Cluster)> sslconfig

sslconfig settings:

GUI HTTPS method: tlsv1_2

GUI HTTPS ciphers:

RC4-SHA

RC4-MD5

ALL

-aNULL

-EXPORT

Inbound SMTP method: tlsv1_2

Inbound SMTP ciphers:

RC4-SHA

RC4-MD5

ALL

-aNULL

-EXPORT

Outbound SMTP method: tlsv1_2

Outbound SMTP ciphers:

RC4-SHA

RC4-MD5

ALL

-aNULL

-EXPORT

Choose the operation you want to perform:

- GUI - Edit GUI HTTPS ssl settings.

- INBOUND - Edit Inbound SMTP ssl settings.

- OUTBOUND - Edit Outbound SMTP ssl settings.

- VERIFY - Verify and show ssl cipher list.

- CLUSTERSET - Set how ssl settings are configured in a cluster.

- CLUSTERSHOW - Display how ssl settings are configured in a cluster.

[]> INBOUND

Enter the inbound SMTP ssl method you want to use.

1. TLS v1.0

2. TLS v1.1

3. TLS v1.2

4. SSL v2

5. SSL v3

[3]> 1-3

Enter the inbound SMTP ssl cipher you want to use.

[RC4-SHA:RC4-MD5:ALL:-aNULL:-EXPORT]>

暗号

TLSv1.0 プロトコルを有効に するとき ESA および CES アロケーションは厳密な暗号スイートでそれです SSLv3 暗号を確認して重要ブロックされません設定することができます。 SSLv3 暗号スイートを許可する失敗は TLS ネゴシエーション失敗か突然の TLS 接続閉鎖という結果に終ります。

サンプル暗号ストリング:

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

この暗号ストリングは示されるように SSLv3 暗号のネゴシエーションの許可から ESA/CES を停止します! SSLv3: 、これはネゴシエーションのために利用可能な共用暗号がないのでプロトコルがハンドシェイクで要求されるとき、SSL ハンドシェイク失敗します意味します。

TLSv1.0 のサンプル暗号文字列関数を確認するために、取除くことを修正する必要があります! SSLv3:!TLSv1: 置き換えられた暗号ストリングで見られる:

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:-aNULL:-EXPORT:-IDEA

注: Verify コマンドで ESA/CES CLI の SSL ハンドシェイクで共有される暗号スイートを確認できます。

可能性のあるエラーは mail_logs/メッセージ トラッキングをに制限されなくてログオンしました:

Sun Feb 23 10:07:07 2020 Info: DCID 1407038 TLS failed: (336032784, 'error:14077410:SSL routines:SSL23_GET_SERVER_HELLO:sslv3 alert handshake failure')

Sun Feb 23 10:38:56 2020 Info: DCID 1407763 TLS failed: (336032002, 'error:14077102:SSL routines:SSL23_GET_SERVER_HELLO:unsupported protocol')

関連情報

- ESA の SSL/TLS で使用される方式と暗号の変更

- SSL 暗号強度の詳細

- ESA での TLS 向けの包括的な設定ガイド

- テクニカル サポートとドキュメント – Cisco Systems