Configure la versión 1.0 de Transport Layer Security en Cisco ESA y CES

Introducción

Este documento describe cómo activar la versión 1.0 (TLSv1.0) de Transport Layer Security en las asignaciones de la Seguridad del correo electrónico del dispositivo de seguridad del correo electrónico de Cisco (ESA) y de la nube de Cisco (CES).

¿Cómo puede usted activar TLSv1.0 en Cisco ESA y CES?

Nota: Las asignaciones de Cisco CES provisioned tienen TLSv1.0 inhabilitado por abandono según los requerimientos de seguridad debido a los impactos de la vulnerabilidad en el protocolo TLSv1.0. Esto incluye la cadena de la cifra para quitar todo el uso de la habitación compartida SSLv3 de la cifra.

Precaución: Los métodos y las cifras SSL/TLS son determinados basados en las políticas de seguridad y las preferencias específicas de su compañía. Para la información de tercera persona con respecto a las cifras, refiera documento a TLS Mozilla de la Seguridad/del lado del servidor para las Configuraciones del servidor y la información detallada recomendadas.

Para activar TLSv1.0 en su Cisco ESA o CES, usted puede hacer tan del Interfaz gráfica del usuario (GUI) o del comando line interface(cli).

Nota: Para conseguir el acceso a su CES en el CLI revise por favor: Acceso del comando line interface(cli) de su solución de la Seguridad del correo electrónico de la nube (CES)

Interfaz delusuario

1. Registro en el GUI.
2. Navegue a la administración del sistema > a la configuración de SSL.
3. Selecto corrija las configuraciones.
4. Controle el cuadro TLSv1.0. Es importante observar ese TLSv1.2 y no puede ser activado conjuntamente con TLSv1.0 a menos que el protocolo que puentea TLSv1.1 también se active tal y como se muestra en de la imagen:

Interfaz de línea de comando

1. Ejecute el sslconfig del comando.
2. Funcione con el GUI del comando o ENTRANTE o SALIENTE dependiendo para de qué item usted quiere activar TLSv1.0:

(Cluster Hosted_Cluster)> sslconfig

sslconfig settings:
GUI HTTPS method: tlsv1_2
GUI HTTPS ciphers:
RC4-SHA
RC4-MD5
ALL
-aNULL
-EXPORT
Inbound SMTP method: tlsv1_2
Inbound SMTP ciphers:
RC4-SHA
RC4-MD5
ALL
-aNULL
-EXPORT
Outbound SMTP method: tlsv1_2
Outbound SMTP ciphers:
RC4-SHA
RC4-MD5
ALL
-aNULL
-EXPORT

Choose the operation you want to perform:
- GUI - Edit GUI HTTPS ssl settings.
- INBOUND - Edit Inbound SMTP ssl settings.
- OUTBOUND - Edit Outbound SMTP ssl settings.
- VERIFY - Verify and show ssl cipher list.
- CLUSTERSET - Set how ssl settings are configured in a cluster.
- CLUSTERSHOW - Display how ssl settings are configured in a cluster.
[]> INBOUND

Enter the inbound SMTP ssl method you want to use.
1. TLS v1.0
2. TLS v1.1
3. TLS v1.2
4. SSL v2
5. SSL v3
[3]> 1-3

Enter the inbound SMTP ssl cipher you want to use.
[RC4-SHA:RC4-MD5:ALL:-aNULL:-EXPORT]>

Cifras

Las asignaciones de ESAs y CES se pueden configurar con las habitaciones estrictas de la cifra, él son importantes asegurarse que las cifras SSLv3 no están bloqueados cuando usted activa el protocolo TLSv1.0. El error permitir las habitaciones de la cifra SSLv3 da lugar a las fallas de negociación de TLS o a los cierres precipitados de la conexión TLS.

Cadena de la cifra de la muestra:

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

¡Esta cadena de la cifra para el ESA/CES de permitir la negociación en las cifras SSLv3 según lo indicado encendido! SSLv3: , esto significa cuando el protocolo se pide en el apretón de manos, el contacto SSL falla pues no hay cifras compartidas disponibles para la negociación.

¡Para asegurar las funciones de la cadena de la cifra de la muestra con TLSv1.0, necesita ser modificada para quitar! SSLv3:!TLSv1: visto en la cadena substituida de la cifra:

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:-aNULL:-EXPORT:-IDEA

Nota: Usted puede verificar las habitaciones de la cifra compartidas en el contacto SSL en el ESA/CES CLI con el comando verify.

Los errores posibles abrieron una sesión los mail_logs/Seguimiento de mensajes pero no limitado a:

Sun Feb 23 10:07:07 2020 Info: DCID 1407038 TLS failed: (336032784, 'error:14077410:SSL routines:SSL23_GET_SERVER_HELLO:sslv3 alert handshake failure')
Sun Feb 23 10:38:56 2020 Info: DCID 1407763 TLS failed: (336032002, 'error:14077102:SSL routines:SSL23_GET_SERVER_HELLO:unsupported protocol')

Información Relacionada

• Altere los métodos y las cifras usados con el SSL/TLS en el ESA
• El SSL cifra los detalles de la fuerza
• Guía completa de la disposición para TLS en el ESA
• Soporte Técnico y Documentación - Cisco Systems