Contenido

Introducción

Alterar los métodos y los cifradores utilizados con SSL/TLS

Métodos SSL

Cifrados SSL

Introducción

Este documento describe cómo modificar los métodos y los códigos que se utilizan con las configuraciones Secure Socket Layer (SSL) o Transport Layer Security (TLS) en Cisco Email Security Appliance (ESA).

Alterar los métodos y los cifradores utilizados con SSL/TLS

Nota: Los métodos SSL/TLS y los códigos deben establecerse en función de las políticas de seguridad y preferencias específicas de su empresa. Para obtener información de terceros con respecto a los cifrados, refiérase al documento Security/Server Side TLS  Mozilla para ver las configuraciones recomendadas del servidor y la información detallada.

Con Cisco AsyncOS para Email Security, un administrador puede utilizar el comando sslconfig para configurar los protocolos SSL o TLS para los métodos y cifrados que se utilizan para la comunicación GUI, anunciados para conexiones entrantes y solicitados para conexiones salientes:

esa.local> sslconfig

sslconfig settings:

GUI HTTPS method: tlsv1/tlsv1.2

GUI HTTPS ciphers:

MEDIUM

HIGH

-SSLv2

-aNULL

!RC4

@STRENGTH

-EXPORT

Inbound SMTP method: tlsv1/tlsv1.2

Inbound SMTP ciphers:

MEDIUM

HIGH

-SSLv2

-aNULL

!RC4

@STRENGTH

-EXPORT

Outbound SMTP method: tlsv1/tlsv1.2

Outbound SMTP ciphers:

MEDIUM

HIGH

-SSLv2

-aNULL

!RC4

@STRENGTH

-EXPORT

Choose the operation you want to perform:

- GUI - Edit GUI HTTPS ssl settings.

- INBOUND - Edit Inbound SMTP ssl settings.

- OUTBOUND - Edit Outbound SMTP ssl settings.

- VERIFY - Verify and show ssl cipher list.

[]> inbound

Enter the inbound SMTP ssl method you want to use.

1. SSL v2

2. SSL v3

3. TLS v1/TLS v1.2

4. SSL v2 and v3

5. SSL v3 and TLS v1/TLS v1.2

6. SSL v2, v3 and TLS v1/TLS v1.2

[3]>

Enter the inbound SMTP ssl cipher you want to use.

[MEDIUM:HIGH:-SSLv2:-aNULL:!RC4:@STRENGTH:-EXPORT]>

sslconfig settings:

GUI HTTPS method: tlsv1/tlsv1.2

GUI HTTPS ciphers:

MEDIUM

HIGH

-SSLv2

-aNULL

!RC4

@STRENGTH

-EXPORT

Inbound SMTP method: tlsv1/tlsv1.2

Inbound SMTP ciphers:

MEDIUM

HIGH

-SSLv2

-aNULL

!RC4

@STRENGTH

-EXPORT

Outbound SMTP method: tlsv1/tlsv1.2

Outbound SMTP ciphers:

MEDIUM

HIGH

-SSLv2

-aNULL

!RC4

@STRENGTH

-EXPORT

Choose the operation you want to perform:

- GUI - Edit GUI HTTPS ssl settings.

- INBOUND - Edit Inbound SMTP ssl settings.

- OUTBOUND - Edit Outbound SMTP ssl settings.

- VERIFY - Verify and show ssl cipher list.

[]>

Si se realizan cambios en la configuración SSL, asegúrese de que confirma todos los cambios.

Métodos SSL

En AsyncOS para Email Security Versiones 9.6 y posteriores, el ESA está configurado para utilizar el método TLS v1/TLS v1.2 de forma predeterminada. En este caso, TLSv1.2 tiene un precedente para la comunicación, si está siendo utilizado por las partes de envío y recepción. Para establecer una conexión TLS, ambos lados deben tener al menos un método habilitado que coincida y al menos un dígito habilitado que coincida.

Nota: En AsyncOS para las versiones de Email Security anteriores a la versión 9.6, el valor predeterminado tiene dos métodos: SSL v3 y TLS v1. Es posible que algunos administradores deseen desactivar SSL v3 debido a vulnerabilidades recientes (si SSL v3 está activado).

Cifrados SSL

Cuando ve el cifrado predeterminado que se muestra en el ejemplo anterior, es importante comprender la razón por la que muestra dos cifras seguidas de la palabra ALL. Aunque ALL incluye las dos cifras que lo preceden, el orden de las cifras en la lista de cifras determina la preferencia. Por lo tanto, cuando se realiza una conexión TLS, el cliente elige el primer cifrado que ambos lados admiten en función del orden de aparición en la lista.

Nota: Los cifrados RC4 se habilitan de forma predeterminada en el ESA. En el ejemplo anterior, el MEDIUM:HIGH se basa en el documento Evitar Negociaciones para Cifres Nulos o Anónimos en el ESA y SMA de Cisco. Para obtener más información sobre RC4 específicamente, refiérase al documento Security/Server Side TLS  Mozilla y también al documento Sobre la seguridad de RC4 en TLS y WPA  que se presenta desde el Simposio de Seguridad USENIX 2013. Para quitar los cifrados RC4 del uso, consulte los ejemplos siguientes.

A través de la manipulación de la lista de cifras, puede influir en el cifrado elegido. Puede enumerar cifras específicas o rangos de cifras, y también reordenarlos por fuerza con la inclusión de la opción @STRENGTH en la cadena de cifrado, como se muestra aquí:

Enter the inbound SMTP ssl cipher you want to use.

[RC4-SHA:RC4-MD5:ALL]> MEDIUM:HIGH:-SSLv2:-aNULL:@STRENGTH

Asegúrese de revisar todos los códigos e intervalos disponibles en el ESA. Para verlos, ingrese el comando sslconfig, seguido del subcomando verify. Las opciones para las categorías de cifrado SSL son BAJO, MEDIO, ALTO y TODO:

[]> verify

Enter the ssl cipher you want to verify.

[]> MEDIUM

ADH-RC4-MD5 SSLv3 Kx=DH Au=None Enc=RC4(128) Mac=MD5

IDEA-CBC-SHA SSLv3 Kx=RSA Au=RSA Enc=IDEA(128) Mac=SHA1

RC4-SHA SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=SHA1

RC4-MD5 SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5

IDEA-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=IDEA(128) Mac=MD5

RC2-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC2(128) Mac=MD5

RC4-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5

También puede combinarlos para incluir rangos:

[]> verify

Enter the ssl cipher you want to verify.

[]> MEDIUM:HIGH

ADH-RC4-MD5 SSLv3 Kx=DH Au=None Enc=RC4(128) Mac=MD5

IDEA-CBC-SHA SSLv3 Kx=RSA Au=RSA Enc=IDEA(128) Mac=SHA1

RC4-SHA SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=SHA1

RC4-MD5 SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5

IDEA-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=IDEA(128) Mac=MD5

RC2-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC2(128) Mac=MD5

RC4-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5

ADH-CAMELLIA256-SHA SSLv3 Kx=DH Au=None Enc=Camellia(256) Mac=SHA1

DHE-RSA-CAMELLIA256-SHA SSLv3 Kx=DH Au=RSA Enc=Camellia(256) Mac=SHA1

DHE-DSS-CAMELLIA256-SHA SSLv3 Kx=DH Au=DSS Enc=Camellia(256) Mac=SHA1

CAMELLIA256-SHA SSLv3 Kx=RSA Au=RSA Enc=Camellia(256) Mac=SHA1

ADH-CAMELLIA128-SHA SSLv3 Kx=DH Au=None Enc=Camellia(128) Mac=SHA1

DHE-RSA-CAMELLIA128-SHA SSLv3 Kx=DH Au=RSA Enc=Camellia(128) Mac=SHA1

DHE-DSS-CAMELLIA128-SHA SSLv3 Kx=DH Au=DSS Enc=Camellia(128) Mac=SHA1

CAMELLIA128-SHA SSLv3 Kx=RSA Au=RSA Enc=Camellia(128) Mac=SHA1

ADH-AES256-SHA SSLv3 Kx=DH Au=None Enc=AES(256) Mac=SHA1

DHE-RSA-AES256-SHA SSLv3 Kx=DH Au=RSA Enc=AES(256) Mac=SHA1

DHE-DSS-AES256-SHA SSLv3 Kx=DH Au=DSS Enc=AES(256) Mac=SHA1

AES256-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(256) Mac=SHA1

ADH-AES128-SHA SSLv3 Kx=DH Au=None Enc=AES(128) Mac=SHA1

DHE-RSA-AES128-SHA SSLv3 Kx=DH Au=RSA Enc=AES(128) Mac=SHA1

DHE-DSS-AES128-SHA SSLv3 Kx=DH Au=DSS Enc=AES(128) Mac=SHA1

AES128-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(128) Mac=SHA1

ADH-DES-CBC3-SHA SSLv3 Kx=DH Au=None Enc=3DES(168) Mac=SHA1

EDH-RSA-DES-CBC3-SHA SSLv3 Kx=DH Au=RSA Enc=3DES(168) Mac=SHA1

EDH-DSS-DES-CBC3-SHA SSLv3 Kx=DH Au=DSS Enc=3DES(168) Mac=SHA1

DES-CBC3-SHA SSLv3 Kx=RSA Au=RSA Enc=3DES(168) Mac=SHA1

DES-CBC3-MD5 SSLv2 Kx=RSA Au=RSA Enc=3DES(168) Mac=MD5

Cualquiera de los cifrados SSL que no desea configurar y disponible debe eliminarse con la opción "-" que precede a los cifrados específicos. Aquí tiene un ejemplo:

[]> MEDIUM:HIGH:-SSLv2:-aNULL:@STRENGTH:-EDH-RSA-DES-CBC3-SHA:

-EDH-DSS-DES-CBC3-SHA:-DES-CBC3-SHA

La información en este ejemplo anularía los códigos NULL, EDH-RSA-DES-CBC3-SHA, EDH-DSS-DES-CBC3-SHA y DES-CBC3-SHA del anuncio y evitaría su uso en la comunicación SSL.

También puede lograr lo mismo con la inclusión del "!" delante del grupo o cadena de cifrado que desea que no esté disponible:

[]> MEDIUM:HIGH:-SSLv2:-aNULL:!RC4:@STRENGTH

La información de este ejemplo quitaría el uso de todos los elementos RC4. Por lo tanto, los cifrados RC4-SHA y RC4-MD5 se negarían y no se anunciarían en la comunicación SSL.

Si se realizan cambios en la configuración SSL, asegúrese de que confirma todos los cambios.