Kami menggunakan mekanisme pertukaran kunci RSA untuk sertifikat SSL. Bagaimana saya bisa mengubahnya ke DHE_RSAatau ECDHE_RSA?
Karena menggunakan RSA, kami mendapatkan peringatan di bawah ini di chrome
Koneksi Anda ke situs web dienkripsi dengan kriptografi usang
Saya menggunakan Windows Server 2012 IIS 8.
Jawaban:
Pertama yang secara khusus menjawab pertanyaan Anda;
"Bagaimana saya bisa mengubahnya menjadi DHE_RSA atau ECDHE_RSA?"
Solusi termudah untuk ini adalah mengunduh IIS Crypto dan membiarkannya bekerja keras untuk Anda.
Untuk menggunakan DHE_RSA atau ECDHE_RSA Anda harus memesan ulang preferensi cipher suite di panel kiri bawah jendela IIS Crypto. Saat ini saya menetapkan suite sandi berikut sebagai preferensi tertinggi saya;
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521
Anda juga ingin mengatur urutan sisanya dengan benar dan menonaktifkan beberapa entri. Saya akan sangat menyarankan menggunakan tombol 'Praktik Terbaik' karena akan melakukan ini untuk Anda. Ini juga akan menonaktifkan protokol SSL3.0 dan di bawahnya, dan semua cipher enkripsi selain 3DES dan AES 128/256. Anda perlu menyadari bahwa dengan melakukan ini, Anda dapat menyebabkan masalah kompatibilitas dengan klien yang sangat lama (pikirkan IE6 di XP dan di bawah). Dengan sebagian besar basis pelanggan ini seharusnya tidak menjadi masalah hari ini, tetapi beberapa bagian dunia masih menggunakan perangkat lunak yang lebih tua seperti ini.
Bagian kedua dari jawaban saya mengacu pada keinginan Anda untuk menghapus peringatan yang ditampilkan versi Chrome terbaru;
Koneksi Anda ke situs web dienkripsi dengan kriptografi usang
Ini lebih sulit untuk dicapai. Bahkan setelah mengubah ke ECDHE_RSA atau DHE_RSA Anda masih akan melihat peringatan. Ini karena Chrome menganggap AES dalam mode CBC sudah usang. Cara untuk mengubahnya adalah dengan menggunakan AES dalam mode GCM, namun untuk melakukan itu Anda harus memastikan bahwa Anda telah menambal server Anda terlebih dahulu dengan tambalan di bawah ini. Patch ini memperkenalkan empat suite sandi baru, dua di antaranya akan melakukan apa yang kita butuhkan di sini.
Sebelum saya memberi Anda tautan, ini disertai dengan peringatan kesehatan . Tambalan ini ditarik oleh Microsoft pada bulan November karena banyak masalah. Saya belum tahu apakah sekarang dianggap aman untuk digunakan, atau dalam kondisi apa. Saya telah berusaha mencari tahu sendiri (lihat pertanyaan SF ini )
Gunakan dengan risiko Anda sendiri!
Setelah terinstal, Anda sekarang dapat menggunakan IIS Crypto untuk meletakkan cipher suite berikut di bagian atas daftar;
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
Chrome akan senang dengan ini. Satu-satunya downside ke suite ini adalah bahwa Anda kehilangan sifat kurva elips yang terkait dengan ECDHE daripada DHE. Ini tidak memengaruhi keamanan, tetapi memengaruhi kinerja server dan klien selama pertukaran kunci. Anda perlu mengevaluasi apakah pertukaran ini layak untuk kasus penggunaan khusus Anda.
Akhirnya , dimungkinkan juga untuk mencapai ini dengan menggunakan salah satu cipher suites yang menggabungkan AES GCM dengan ECDHE / ECDSA, mis.
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521
Namun ini hanya akan berfungsi jika Anda telah memperoleh sertifikat SSL yang menggunakan ECDSA untuk menghasilkan kunci publik / pribadi Anda alih-alih RSA. Ini masih relatif jarang (baca: mahal), dan dapat menyebabkan masalah kompatibilitas klien. Saya sendiri belum bereksperimen dengan opsi ini dan karena itu tidak dapat berbicara dengan otoritas apa pun tentangnya.
Akhirnya, akhirnya (sungguh, akhirnya). Setelah semua hal di atas, saya sebenarnya tidak akan mengkhawatirkannya. Saya akan terus menggunakan AES CBC pada kotak IIS saya di masa mendatang. Chrome hanya menampilkan peringatan yang disebutkan di atas jika pengguna memilih untuk mengklik dan melihat rincian TLS, tidak ada indikasi sebaliknya hanya dari melihat simbologi bilah alamat.
Semoga itu bisa membantu, dan minta maaf untuk esai! ;-)
Cara termudah yang saya tahu untuk mengubah urutan cipher suites di Windows adalah menggunakan alat kecil IIS Crypto
Namun pesan yang Anda dapatkan di Chrome kemungkinan besar tidak terkait dengan itu.
Your connection to website is encrypted with obsolete cryptographyditampilkan ketika sertifikat atau orang tuanya memiliki algoritme tanda tangan sha1. Periksa dulu dan mungkin ganti sertifikat itu