Letzte Verbesserungen bei SSL Handshake Simulation

[pascalts]

Hallo!

Vor kuren hatten wir hier diskutiert, wie ich meine SSL Verbindung sicher bekomme. Das hat soweit nun geklappt, allerdings schlagen laut https://www.ssllabs.com/ssltest/analyze ... o-eight.de noch diverse Handshakes fehl.

Was kann ich da tun?

Grüße!

[wanne]

Was hast du jetzt konkret für ein Problem?

[pascalts]

Mein Problem sind diese Fails:


Ich weiß ehrlich nicht, wo ich ansetzen muss, damit ich die Handshakes sauber hinbekomme.

[r4pt0r]

Was kann ich da tun?

Mit diesen ciphern sollten es ein paar mehr Clients packen:

Code: Alles auswählen

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xc030)   ECDH 256 bits (eq. 3072 bits RSA)   FS		256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (0xc028)   ECDH 256 bits (eq. 3072 bits RSA)   FS		256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014)   ECDH 256 bits (eq. 3072 bits RSA)   FS		256

die cipherlist in der apache ssl config dazu:

Code: Alles auswählen

SSLCipherSuite EECDH+AES256:!aNULL:!eNULL:!EXP:!LOW:!MD5:!RC4

Damit ist das rating von ssllabs sogar überall 100%

Alles was das noch nicht unterstützt ist es auch nicht mehr Wert unterstützt zu werden (Win XP Clients und ähnlicher Schrott...). Ausnahmen/Workarounds am Apache habe ich für solche Clients grundsätzlich komplett deaktiviert.
Auf Java-Unterstützung würde ich ebenfalls nur Wert legen wenn wirklich nötig.