7
Cipher Suite Exchange 2019
Moin Zusammen,
ich habe mal eine Frage bzgl. der Cipher Suites.
Es gibt zwar viele Seiten, aber gefühlt keine bei der mal klar gezeigt wird wie ich was deaktiviere oder aktiviere.
Wenn ich über https://hardenize.com verschiedene Server prüfe fällt mir folgendes auf:
Office 365: Cipher Suite: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 256 bits (ECDHE 256 bits)
Exchange 2019:
Schaue ich nun bei dem Exchange nach z.b. mit IIS Crypo oder über die PS mit Get-TlsCipherSuite bekomme ich diese Info
Wo kommen die TLS_RSA her? Können die von einer vorgelagerten Sophos UTM kommen?
Da es ja offenbar mit Office 365 alles zu klappen scheint, dürfte es doch reichen, wenn ich nur die oben genannte einfüge, oder?
Beste Grüße und Danke
ich habe mal eine Frage bzgl. der Cipher Suites.
Es gibt zwar viele Seiten, aber gefühlt keine bei der mal klar gezeigt wird wie ich was deaktiviere oder aktiviere.
Wenn ich über https://hardenize.com verschiedene Server prüfe fällt mir folgendes auf:
Office 365: Cipher Suite: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 256 bits (ECDHE 256 bits)
Exchange 2019:
TLS_RSA_WITH_AES_128_CBC_SHA 128 bits
TLS_RSA_WITH_AES_256_CBC_SHA 256 bits
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA 128 bits (ECDHE 256 bits)
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA 256 bits (ECDHE 256 bits)
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 128 bits (ECDHE 256 bits)
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 256 bits (ECDHE 256 bits)
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 128 bits (ECDHE 256 bits)
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 256 bits (ECDHE 256 bits)
TLS_RSA_WITH_AES_128_CBC_SHA256 128 bits
TLS_RSA_WITH_AES_256_CBC_SHA256 256 bits
TLS_RSA_WITH_CAMELLIA_128_CBC_SHA 128 bits
TLS_RSA_WITH_CAMELLIA_256_CBC_SHA 256 bits
TLS_RSA_WITH_AES_128_GCM_SHA256 128 bits
TLS_RSA_WITH_AES_256_GCM_SHA384 256 bits Schaue ich nun bei dem Exchange nach z.b. mit IIS Crypo oder über die PS mit Get-TlsCipherSuite bekomme ich diese Info
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256Wo kommen die TLS_RSA her? Können die von einer vorgelagerten Sophos UTM kommen?
Da es ja offenbar mit Office 365 alles zu klappen scheint, dürfte es doch reichen, wenn ich nur die oben genannte einfüge, oder?
Beste Grüße und Danke
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 8166310253
Url: https://administrator.de/contentid/8166310253
Printed on: April 27, 2024 at 07:04 o'clock
7 Comments
Latest comment
Okay. Ich habe gerade mal eine deaktiviert auf dem Exchange und getestet. Unverändert. Ich vermute die kommen von der UTM, auf der man das irgendwie wohl nur schwer oder gar nicht abschalten kann.
am XG WAF kann man da nix machen die sind hardcoded, siehe hier denke auf der utm ist das nicht anders.
Was du da sagst kann gar nicht sein, wie soll ein Remotesystem deinem Exchange diktieren welche verschlüsselungssammlungen benutzt werden. Das wäre ja geil ;)
Ich könnte mir höchstens noch vorstellen das die Verschlüsselungssammlungen vom .NET 4.8 SCHANNEL Regkey abgeleitet werden.
Was du da sagst kann gar nicht sein, wie soll ein Remotesystem deinem Exchange diktieren welche verschlüsselungssammlungen benutzt werden. Das wäre ja geil ;)
Ich könnte mir höchstens noch vorstellen das die Verschlüsselungssammlungen vom .NET 4.8 SCHANNEL Regkey abgeleitet werden.
Hab falsch gedacht, du testest ja von extern deinen WAF. Na dann ist klar das der die von sophos nimmt.. dürften auch diese hier sein:
TLS_RSA_WITH_AES_256_GCM_SHA384 256 bits
TLS_RSA_WITH_AES_128_GCM_SHA256 128 bits
TLS_RSA_WITH_AES_256_CCM_8 256 bits
TLS_RSA_WITH_AES_256_CCM 256 bits
TLS_RSA_WITH_AES_128_CCM_8 128 bits
TLS_RSA_WITH_AES_128_CCM 128 bits
TLS_RSA_WITH_AES_256_CBC_SHA256 256 bits
TLS_RSA_WITH_AES_128_CBC_SHA256 128 bits
TLS_RSA_WITH_AES_256_CBC_SHA 256 bits
TLS_RSA_WITH_AES_128_CBC_SHA 128 bits
Aber das kann dir doch A.. vorbei gehen wenn der Exchange die intern gar nicht annimmt..
TLS_RSA_WITH_AES_256_GCM_SHA384 256 bits
TLS_RSA_WITH_AES_128_GCM_SHA256 128 bits
TLS_RSA_WITH_AES_256_CCM_8 256 bits
TLS_RSA_WITH_AES_256_CCM 256 bits
TLS_RSA_WITH_AES_128_CCM_8 128 bits
TLS_RSA_WITH_AES_128_CCM 128 bits
TLS_RSA_WITH_AES_256_CBC_SHA256 256 bits
TLS_RSA_WITH_AES_128_CBC_SHA256 128 bits
TLS_RSA_WITH_AES_256_CBC_SHA 256 bits
TLS_RSA_WITH_AES_128_CBC_SHA 128 bits
Aber das kann dir doch A.. vorbei gehen wenn der Exchange die intern gar nicht annimmt..
Leider kann es mir nicht am A... vorbei gehen, weil der Geschäftspartner von dem Kunden sagt: Das ist veraltet und deren Mailserver die Mails entsprechend nicht zustellt.
Der Begriff "Cipher" ist hier eigentlich nicht ganz korrekt, das Problem ist die Schlüsselaushandlung. Wenn kein Perfect Forward Secrecy (PFS) mit Elliptic Curve (ECxxx) genutzt wird, ist die Schlüsselaushandlung angreifbar. Deshalb wird seit bestimmt schon 10 Jahren dringend geraten nur EC-Schlüsselaushandlung zu verwenden.
Da hat euer Geschäftspartner schonmal recht.
Dass eine Gegenstelle aber die Verbindung abbricht, weil schwache Schlüsselaushandlung möglich ist, könnte auf ein anderes Problem hindeuten.
Denn ungesicherte Schlüsselaushandlung ohne EC war de-facto bei TLS 1.2 schon verbreitet nicht mehr möglich, mit TLS 1.3 ist das komplett weggefallen.
Könnte es sein, dass ihr TLS < 1.2 oder gar SSLv3 anbietet? Das wäre zumindest ein legitimer Grund, den Handshake beim Verbindungsaufbau abzubrechen.
Ein anderes und wahrscheinlicheres Problem könnten auch zu kurze DH-Params sein. Da diese aufwendig zu generieren sind, sind die lange Zeit nur mit 512 bit erzeugt worden (was als sicher galt).
Mittlerweile erwartet man mindestens 2k große DH-Params. Bei zu kurzen DH-Params kommt keine Verbindung mit modernen Clients zustande.
Eventuell musst du diese auf der UTM neu erzeugen lassen resp. größere Längen aktivieren — mit Sophos kenne ich mich überhaupt nicht aus.
Du kannst euer System über https://internet.nl testen lassen, da wird speziell auch die Länge der DH-Params geprüft.
Da hat euer Geschäftspartner schonmal recht.
Dass eine Gegenstelle aber die Verbindung abbricht, weil schwache Schlüsselaushandlung möglich ist, könnte auf ein anderes Problem hindeuten.
Denn ungesicherte Schlüsselaushandlung ohne EC war de-facto bei TLS 1.2 schon verbreitet nicht mehr möglich, mit TLS 1.3 ist das komplett weggefallen.
Könnte es sein, dass ihr TLS < 1.2 oder gar SSLv3 anbietet? Das wäre zumindest ein legitimer Grund, den Handshake beim Verbindungsaufbau abzubrechen.
Ein anderes und wahrscheinlicheres Problem könnten auch zu kurze DH-Params sein. Da diese aufwendig zu generieren sind, sind die lange Zeit nur mit 512 bit erzeugt worden (was als sicher galt).
Mittlerweile erwartet man mindestens 2k große DH-Params. Bei zu kurzen DH-Params kommt keine Verbindung mit modernen Clients zustande.
Eventuell musst du diese auf der UTM neu erzeugen lassen resp. größere Längen aktivieren — mit Sophos kenne ich mich überhaupt nicht aus.
Du kannst euer System über https://internet.nl testen lassen, da wird speziell auch die Länge der DH-Params geprüft.
Hi @LordGurke,
danke für deine Infos und die Zeit. SSLv3 ist aus und es ist nur TLS 1.2 verfügbar.
Bei der UTM kann man leider nichts anpassen. Man kann nur was über die CLI anpassen, aber das ist bei der nächsten Änderung an der Gui wohl wieder weg und mit den alten Einstellungen überschrieben.
Bei der XGS wird zumindest auf der Seite die Cipher Order grün angezeigt, aber die Suite ist auch im Status Phase out.
Vielleicht hat hier jemand anderes noch eine SG UTM oder auch eine XGS als Mailgateway und kann das mal prüfen?!
Grüße und danke
danke für deine Infos und die Zeit. SSLv3 ist aus und es ist nur TLS 1.2 verfügbar.
Bei der UTM kann man leider nichts anpassen. Man kann nur was über die CLI anpassen, aber das ist bei der nächsten Änderung an der Gui wohl wieder weg und mit den alten Einstellungen überschrieben.
Bei der XGS wird zumindest auf der Seite die Cipher Order grün angezeigt, aber die Suite ist auch im Status Phase out.
Vielleicht hat hier jemand anderes noch eine SG UTM oder auch eine XGS als Mailgateway und kann das mal prüfen?!
Grüße und danke