https với ECDHE-ECDSA-AES256-GCM-SHA384 trong cửa sổ 2012

Question

Tôi đã là người đọc thời gian dài nhưng đây là bài đăng đầu tiên của tôi về một chủ đề mà tôi không thể tìm được giải pháp.

Tôi hiện đang lưu trữ một trang web trên Windows 2012 mà tôi muốn nhận được mã hóa TLS 1.2 mới nhất chạy trên đó.

Tôi biết cách bật TLS 1.1 và TLS 1.2 trong cửa sổ và đã thực hiện điều đó (thông qua chỉnh sửa đăng ký). Tôi cũng đã thay đổi thứ tự mật mã theo thứ tôi muốn.

Câu hỏi của tôi là: Làm cách nào để tôi thực sự trải qua và thiết lập phần ECDHE/ECDSA của bộ mã hóa sau bước này?

Khi tôi xem trang web trong bản beta Chrome mới nhất (hỗ trợ ECDHE và ECDSA trong TLS 1.2, bạn có thể sử dụng các đường cong được hỗ trợ) có vẻ như bỏ qua tất cả các mật mã ECHDE.

Có điều gì khác tôi cần làm để có được ECDHE/ECDSA được bật đúng cách không?

Tôi đã đọc xung quanh trên mạng cố gắng để giải quyết điều này bản thân mình và họ đề cập đến làm bản sao của cert gốc của bạn và sau đó sửa đổi chúng bằng cách nào đó hỗ trợ ECDHE. Tôi đang sủa cây sai à?

Cảm ơn bạn trước cho bất kỳ và tất cả hỗ trợ về vấn đề này.

Edit: thêm làm rõ/tiến độ

Sau khi nghiên cứu nhiều hơn, tôi đã thấy rằng để có được ECDSA để làm việc, bạn cần một giấy chứng nhận ECDSA. Cách duy nhất để có được một tại thời điểm này là để tự ký, như cert-cartel vẫn chưa đưa ra các thỏa thuận cấp phép chéo và cấu trúc phí cho Ellipic Curve Certificates.

Vì tự ký không phải là một tùy chọn cho trang web này, tôi đã xóa tất cả các bộ ECDSA khỏi thứ tự mã hóa.

Thật không may, vì tất cả các bộ chế độ AES Galois Counter Mode cũng là ECDSA, quy tắc này sẽ được thực hiện trong thời gian này.

Điều này khiến tôi có bộ mã hóa mạnh nhất của ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521 mà tôi TIN CẬY được hỗ trợ bởi phiên bản Chrome beta mới nhất chính xác? Có vẻ như Chrome không nhận được gì ngoài SHA-1. Không có hỗ trợ SHA-2? ngay cả trong phiên bản beta mới nhất?

Answer 1

AES-GCM là về cách bạn mã hóa dữ liệu trong kết nối của bạn, EC-DSA hoặc RSA về cách máy chủ tự xác định chính nó với khách hàng. Do đó, không có lý do gì khiến bạn không thể thực hiện mã hóa AES-GCM bằng xác thực RSA.

RFC 5289 không xác định bộ cần thiết cho rằng: http://tools.ietf.org/html/rfc5289#section-3.2

CipherSuite TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 = {0xC0,0x2F}; 
CipherSuite TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 = {0xC0,0x30}; 
CipherSuite TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256  = {0xC0,0x31}; 
CipherSuite TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384  = {0xC0,0x32}; 

Nó không nhất thiết tuy nhiên dễ dàng để tìm thấy cả hai máy khách và máy chủ mà sẽ hỗ trợ họ.

Answer 2

Tôi đã có những trải nghiệm tương tự với Win2008 R2. Tùy thuộc vào chứng chỉ, mật mã GCM được cung cấp bởi máy chủ hay không.

Với chứng chỉ ECDSA tự ký tôi nhận GCM hoạt động nhưng các trình duyệt cũ hơn hoặc Windows XP không thể kết nối với trang web https như vậy.

Windows không hỗ trợ bất kỳ TLS_ECDHE_RSA ... GCM ... mật mã: http://msdn.microsoft.com/en-us/library/aa374757(v=vs.85).aspx Vì vậy, các chứng chỉ RSA bình thường không hoạt động với GCM trong Windows.

khả năng tương thích trình duyệt: http://www.g-sec.lu/sslharden/SSL_comp_report2011.pdf