Início / server / Perguntas / 1020948
Accepted
Stefan Lasiewski
Asked: 2020-06-11 14:34:32 +0800 CST

Como ver a cifra TLS de uma conexão openldap?

  • 772

Nossos servidores OpenLDAP executam a versão em EL6. O OpenLDAP é construído com base nas bibliotecas do Mozilla Network Security Services (NSS). Nossos clientes LDAP vêm de uma ampla variedade de sistemas Unix e Linux.

Não conseguimos que as conexões OpenLDAP funcionem para clientes ou replicação quando usamos nossas cifras TLS preferidas.

Por exemplo, se usarmos a lista de cifras disponíveis mais fortes da Red Hat , como esta:

# /etc/openldap/slapd.conf
TLSProtocolMin 3.2
TLSCipherSuite ECDHE-RSA-AES256-SHA384:AES256-SHA256:!RC4:HIGH:!MD5:!EDH:!EXP:!SSLV2:!eNULL

As conexões do cliente falham porque não atendem ao nosso requisito de ACL para um fator de força de segurança (SSF) mínimo:

slapd[22887]: conn=1022 fd=20 ACCEPT from IP=192.168.100.101:35936 (IP=192.168.100.100:636)
slapd[22887]: conn=1022 fd=20 TLS established tls_ssf=128 ssf=128
...
slapd[22887]: <= check a_authz.sai_ssf: ACL 256 > OP 128

Como posso ver qual cifra está sendo usada para esta conexão para que eu possa eliminá-la da lista?

Se desabilitarmos a lista de cifras e usarmos os padrões fornecidos pelo OpenLDAP + NSS, funciona:

# /etc/openldap/slapd.conf
TLSProtocolMin 3.2
# TLSCipherSuite ECDHE-RSA-AES256-SHA384:AES256-SHA256:!RC4:HIGH:!MD5:!EDH:!EXP:!SSLV2:!eNULL


slapd[6020]: conn=1003 fd=20 ACCEPT from IP=192.168.100.101:35936 (IP=192.168.100.100:636)
slapd[6020]: conn=1003 fd=20 TLS established tls_ssf=256 ssf=256

No entanto, a lista padrão é inaceitável porque inclui algumas cifras fracas que nossa equipe de segurança não deseja, como as cifras RC4-SHA e RC4-MD5.

Estamos cientes de que EL6 está se tornando EOL até o final do ano. Esse é um problema diferente.

ssl openldap

1 respostas

  1. Best Answer

    Não consegui fazer isso diretamente com tcpdumpou tsharkno nó. O que eu tinha que fazer era capturar tcpdumpna máquina, transferir os dados para o meu laptop e depois executar uma versão moderna do Wireshark por https://security.stackexchange.com/questions/52150/identify-ssl-version-and-cipher -suíte

    Outro comando muito útil foi usar nmapos scripts do 's para enumerar as cifras:

    $ nmap --script ssl-enum-ciphers -p 636 ldap.example.org -Pn


PORT    STATE SERVICE
636/tcp open  ldapssl
| ssl-enum-ciphers: 
...
|   TLSv1.2
|     Ciphers (16)
|       TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
|       TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
|       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
|       TLS_RSA_WITH_3DES_EDE_CBC_SHA
|       TLS_RSA_WITH_AES_128_CBC_SHA
|       TLS_RSA_WITH_AES_128_CBC_SHA256
|       TLS_RSA_WITH_AES_128_GCM_SHA256
|       TLS_RSA_WITH_AES_256_CBC_SHA
|       TLS_RSA_WITH_AES_256_CBC_SHA256
|       TLS_RSA_WITH_AES_256_GCM_SHA384
|       TLS_RSA_WITH_CAMELLIA_128_CBC_SHA
|       TLS_RSA_WITH_CAMELLIA_256_CBC_SHA


Nmap done: 1 IP address (1 host up) scanned in 0.34 seconds

    Essas AES_128cifras estão causando meu problema e, portanto, as desativei adicionando-as à lista de cifras excluídas:

    TLSCipherSuite HIGH:!LOW:!MEDIUM:!RC4:HIGH:!MD5:!EDH:!EXP:!SSLV2:!eNULL:!AES128
    • 2

relate perguntas