Conjuntos de cifrado para proxy SSL

Conjuntos de cifrado compatibles

El proxy SSL actúa como intermediario, realizando el cifrado y descifrado SSL entre el cliente y el servidor, pero ni el servidor ni el cliente pueden detectar su presencia. SSL se basa en certificados digitales y pares de intercambio de claves público-privadas para la autenticación de cliente y servidor para garantizar una comunicación segura.

Vamos a familiarizarnos con todos los términos a los que nos vamos a referir en esta sección.

• Digital Certificate or CA Certificate —Un certificado digital es un medio electrónico para verificar su identidad a través de un tercero de confianza, conocido como autoridad de certificación (CA). Como alternativa, puede utilizar un certificado autofirmado para dar fe de su identidad. Cada certificado contiene una clave criptográfica para cifrar texto sin formato o descifrar texto cifrado.

• Certificate Contents: un certificado digital asocia una clave pública con la identidad de una entidad individual a la que emite el certificado digital. Un certificado digital incluye los siguientes atributos de identificación:

  • Identificación y firma de la Autoridad de Certificación que emitió el certificado.

  • Período de validez

  • Número de serie

  • Detalles del emisor del certificado

  • La información sobre el tema incluye información de identificación (el nombre distintivo) y la clave pública.

• Cipher Suite—Un conjunto de cifrado es un conjunto de algoritmos criptográficos. Un cifrado SSL comprende cifrados, un método de autenticación y compresión. En el firewall de la serie SRX, las sesiones SSL utilizan un método de intercambio de claves mediante el cual se intercambian claves criptográficas entre el cliente y los servidores mediante un algoritmo criptográfico. El tipo de algoritmo de intercambio de claves y los conjuntos de cifrado utilizados deben ser compatibles con ambos lados.

  Las sesiones SSL utilizan los algoritmos de un conjunto de cifrado para:

  • Establecer de forma segura una clave secreta entre dos partes que se comunican

  • Proteger la confidencialidad de los datos en tránsito

Comportamiento de certificados RSA específico de la plataforma proporciona los detalles de las claves RSA compatibles con varios firewalls de la serie SRX. Admitimos certificados de servidor de tamaño de clave 4096 bits. Anteriormente, los certificados de servidor con un tamaño de clave superior a 2048 bits no se admitían debido a limitaciones de hardware de criptografía.

Configuración de certificados de servidor con un tamaño de clave de 4096 bits

En dispositivos seleccionados, debe habilitar la allow-strong-certificate perilla en la sección Acciones de perfil de proxy SSL para usar certificados RSA con un tamaño de clave de 4096 bits. Consulte Comportamiento de certificados RSA específicos de la plataforma.

Perfil de proxy de reenvío SSL

Perfil de proxy inverso SSL

Compatibilidad de ECDSA Cipher Suite con proxy SSL

Los firewalls de la serie SRX admiten conjuntos de cifrado ECDSA para el proxy SSL. ECDSA es una versión del algoritmo de firma digital (DSA) y se basa en la criptografía de curva elíptica (ECC).

Para utilizar los cifrados ECDSA en su dispositivo de seguridad, debe asegurarse de:

• Incluya los certificados que contienen claves públicas compatibles con ECC en el dispositivo. El soporte está disponible para el certificado de criptografía de curva elíptica (ECC) solo con la curva primo elíptica de 256 bits (P-256).

• Incluya la opción de certificado ECDSA para la CA raíz. Puede incluir un certificado RSA y un certificado ECDSA cada uno. Tener certificados ECC y RSA le permite realizar un intercambio de claves basado en ECC o un intercambio de claves basado en RSA, según la compatibilidad del cliente y del dispositivo servidor.

• Para el proxy inverso, incluya el certificado ECDSA para el certificado de servidor. No hay restricciones en el número de inclusiones de certificados ECDSA o RSA.

• Un certificado de CA de confianza puede ser un certificado basado en RSA y un certificado basado en ECDSA. Todas las características admitidas en un certificado basado en RSA, como caché de certificados, lista de revocación de certificados (CRL) y cadena de certificados, son compatibles con un certificado ECDSA.

Los grupos de curva elíptica (EC) se utilizan en la comunicación SSL/TLS para el intercambio de claves durante el proceso de protocolo de enlace. Estos grupos forman parte de la criptografía de curva elíptica (ECC), que proporciona una comunicación segura con un tamaño de clave más pequeño, lo que resulta en un almacenamiento reducido y una transmisión más rápida y comunicaciones seguras.

Admitimos los siguientes tipos de curva ECC en la iniciación SSL, terminación SSL y perfiles de proxy SSL:

• P-256
• P-384
• P-512

Los grupos EC anteriores están configurados los perfiles de iniciación SSL, terminación SSL y proxy SSL de forma predeterminada y el orden de prioridad de estos grupos EC es - orden de prioridad de P-256, P-384 y P-521.

Tenga en cuenta que el servidor y el cliente deben admitir el mismo grupo EC para establecer correctamente una conexión segura.

La configuración de estos grupos EC en la comunicación entre el cliente y el servidor proxy SSL garantiza la compatibilidad y la flexibilidad para establecer conexiones seguras.

Lista de cifrado SSL

La Tabla 1 muestra una lista de cifrados compatibles. Se excluyen los cifrados NULL.

El proxy SSL es compatible con TLS versión 1.3 y proporciona una seguridad mejorada y un mejor rendimiento. La Tabla 2 muestra una lista de cifrados compatibles con TLS 1.3.

La Tabla 3 proporciona la lista de los cifrados obsoletos.

Tenga en cuenta lo siguiente:

• Los cifrados SSL admitidos para la autenticación de firewall HTTPS son RSA-AES-128-CBC-SHA y RSA-AES-256-CBC-SHA.

• Los conjuntos de cifrado que tienen "exportar" en el título están diseñados para su uso fuera de los Estados Unidos y pueden tener algoritmos de cifrado con tamaños de clave limitados. Los cifrados de exportación no están habilitados de forma predeterminada. Debe configurar los cifrados de exportación para habilitar o instalar un paquete nacional.

• Los trajes de cifrado basados en ECDHE admiten la función de confidencialidad directa perfecta en el proxy SSL.

  El secreto directo perfecto es un protocolo de acuerdo clave específico que garantiza que todas las transacciones enviadas a través de Internet sean seguras. La confidencialidad directa perfecta genera una clave de sesión única para cada sesión iniciada por el usuario. Esto garantiza que el compromiso de una sola clave de sesión no tenga ningún impacto en los datos que no sean los intercambiados en la sesión específica protegida por esa clave en particular.

Configuración de conjuntos de cifrado para proxy SSL

Puede utilizar las siguientes opciones en la configuración del perfil de proxy SSL para establecer conjuntos de cifrado:

• Cifrados preferidos: los cifrados preferidos le permiten definir un cifrado SSL con una intensidad de clave aceptable: fuerte, media o débil.

  Si no desea utilizar una de las tres categorías, puede seleccionar cifrados de cada una de las categorías para formar un conjunto de cifrado personalizado. Los cifrados personalizados le permiten definir su propia lista de cifrado. Para configurar cifrados personalizados, debe establecer los cifrados preferidos en personalizados. Ejemplo:

• Cifrados personalizados: los cifrados personalizados le permiten definir su propia lista de cifrado. Ejemplo:

  También puede utilizar los siguientes cifrados personalizados:

Siga estos pasos para configurar un proxy SSL con cifrados personalizados:

• Genere un certificado de CA raíz o puede importar su propio certificado de CA de confianza y claves privadas y públicas en el dispositivo.

• Cree un perfil de proxy SSL y asocie un certificado de CA raíz (CA raíz o el certificado de servidor).

• Habilite el cifrado preferido en el proxy SSL como cifrado personalizado y adjunte cifrado personalizado

Ejemplo:

En este ejemplo se muestra cómo crear un cifrado personalizado. En este ejemplo, establezca preferred-cipher en personalizado y agregue la lista de cifrado (ecdhe-ecdsa-with-aes-256-cbc-sha384 y ecdhe-ecdsa-with-aes-128-cbc-sha256):

O

Continuar con la configuración del perfil de proxy SSL y aplicar el perfil de proxy SSL a una política de seguridad