Conjuntos de cifrado para proxy SSL

Conjuntos de cifrado compatibles

El proxy SSL actúa como intermediario, realizando cifrado y descifrado SSL entre el cliente y el servidor, pero ni el servidor ni el cliente pueden detectar su presencia. SSL se basa en certificados digitales y pares de intercambio de claves públicas y privadas para la autenticación del cliente y del servidor para garantizar una comunicación segura.

Familiaricémonos con todos los términos a los que nos vamos a referir en este apartado.

• Digital Certificate or CA Certificate —Un certificado digital es un medio electrónico para verificar su identidad a través de un tercero de confianza, conocido como autoridad de certificación (AC). Alternativamente, puede usar un certificado autofirmado para dar fe de su identidad. Cada certificado contiene una clave criptográfica para cifrar texto sin formato o descifrar texto cifrado.

• Certificate Contents: un certificado digital asocia una clave pública con la identidad de una entidad individual a la que emite el certificado digital. Un certificado digital incluye los siguientes atributos de identificación:

  • Identificación y firma de la Autoridad de Certificación que emitió el certificado.

  • Período de validez

  • Número de serie

  • Detalles del emisor del certificado

  • La información sobre el tema incluye información de identificación (el nombre distinguido) y la clave pública.

• Cipher Suite—Un conjunto de cifrado es un conjunto de algoritmos criptográficos. Un cifrado SSL comprende cifrados, un método de autenticación y compresión. En un firewall, las sesiones SSL utilizan el método de intercambio de claves mediante el cual las claves criptográficas se intercambian entre el cliente y los servidores mediante un algoritmo criptográfico. El tipo de algoritmo de intercambio de claves y los conjuntos de cifrado utilizados deben ser compatibles con ambos lados.

  Las sesiones SSL utilizan los algoritmos de un conjunto de cifrado para:

  • Establezca de forma segura una clave secreta entre dos partes que se comunican

  • Proteger la confidencialidad de los datos en tránsito

Comportamiento de certificados RSA específicos de la plataforma Proporciona los detalles de las claves RSA admitidas en el dispositivo de seguridad de Junos OS. Se admiten certificados de servidor con un tamaño de clave de 4096 bits. Anteriormente, los certificados de servidor con un tamaño de clave superior a 2048 bits no se admitían debido a limitaciones de hardware de criptografía.

Configuración de certificados de servidor con un tamaño de clave de 4096 bits

En dispositivos seleccionados, debe habilitar allow-strong-certificate la perilla en la sección Acciones de perfil SSL-Proxy para usar certificados RSA con un tamaño de clave de 4096 bits. Consulte Comportamiento de certificados RSA específicos de la plataforma.

Perfil de proxy de reenvío SSL

Perfil de proxy inverso de SSL

Conjunto de cifrado ECDSA Soporte para proxy SSL

Está disponible la compatibilidad con conjuntos de cifrado ECDSA para proxy SSL. ECDSA es una versión del algoritmo de firma digital (DSA) y se basa en la criptografía de curva elíptica (ECC).

Para utilizar cifrados ECDSA en su dispositivo de seguridad, debe asegurarse de:

• Incluya los certificados que contienen claves públicas compatibles con ECC en el dispositivo. La compatibilidad está disponible para el certificado de criptografía de curva elíptica (ECC) solo con la curva principal elíptica de 256 bits (P-256).

• Incluya la opción de certificado ECDSA para la AC raíz. Puede incluir un certificado RSA y un certificado ECDSA cada uno. Tener certificados ECC y RSA le permite realizar un intercambio de claves basado en ECC o basado en RSA, dependiendo de la compatibilidad del cliente y del dispositivo servidor.

• Para el proxy inverso, incluya el certificado ECDSA para el certificado de servidor. No hay restricciones en el número de inclusión de certificados ECDSA o RSA.

• Un certificado de AC de confianza puede ser un certificado basado en RSA y un certificado basado en ECDSA. Todas las funciones compatibles con un certificado basado en RSA, como la caché de certificados, la lista de revocación de certificados (CRL) y la cadena de certificados, se admiten en un certificado ECDSA.

Los grupos de curva elíptica (EC) se utilizan en la comunicación SSL/TLS para el intercambio de claves durante el proceso de apretón de manos. Estos grupos son parte de la criptografía de curva elíptica (ECC), que proporciona una comunicación segura con un tamaño de clave más pequeño, lo que resulta en un almacenamiento reducido y una transmisión y comunicaciones seguras más rápidas.

Admitimos los siguientes tipos de curva ECC en perfiles de iniciación SSL, terminación SSL y proxy SSL:

• Pág. 256
• P-384
• P-512

Los grupos EC anteriores están configurados perfiles de iniciación SSL, terminación SSL y proxy SSL de forma predeterminada y el orden de prioridad de estos grupos EC es: orden de prioridad de P-256, P-384 y P-521.

Tenga en cuenta que el servidor y el cliente deben admitir el mismo grupo EC para establecer correctamente una conexión segura.

La configuración de estos grupos EC en la comunicación entre proxy y servidor SSL garantiza la compatibilidad y la flexibilidad a la hora de establecer conexiones seguras.

Lista de cifrado SSL

En la tabla 1 se muestra una lista de cifrados compatibles. Se excluyen los cifrados NULL.

El proxy SSL es compatible con la versión 1.3 de TLS y proporciona una seguridad mejorada y un mejor rendimiento. La tabla 2 muestra una lista de cifrados compatibles con TLS 1.3.

En la Tabla 3 se proporciona la lista de los cifrados obsoletos.

Tenga en cuenta lo siguiente:

• Los cifrados SSL compatibles con la autenticación de firewall HTTPS son RSA-AES-128-CBC-SHA y RSA-AES-256-CBC-SHA.

• Los conjuntos de cifrado que tienen "exportar" en el título están diseñados para usarse fuera de los Estados Unidos y pueden tener algoritmos de cifrado con tamaños de clave limitados. Los cifrados de exportación no están habilitados de forma predeterminada. Debe configurar los cifrados de exportación para habilitar o instalar un paquete doméstico.

• Los trajes de cifrado basados en ECDHE admiten la función de confidencialidad directa perfecta en el proxy SSL.

  El secreto directo perfecto es un protocolo de acuerdo clave específico que garantiza que todas las transacciones enviadas a través de Internet sean seguras. La confidencialidad directa perfecta genera una clave de sesión única para cada sesión iniciada por el usuario. Esto garantiza que el compromiso de una sola clave de sesión no afecte a los datos que no sean los intercambiados en la sesión específica protegida por esa clave en particular.

Configuración de conjuntos de cifrado para proxy SSL

Puede utilizar las siguientes opciones en la configuración del perfil de proxy SSL para establecer conjuntos de cifrado:

• Cifrados preferidos: los cifrados preferidos le permiten definir un cifrado SSL con una intensidad de clave aceptable: fuerte, media o débil.

  Si no desea utilizar una de las tres categorías, puede seleccionar cifrados de cada una de las categorías para formar un conjunto de cifrado personalizado. Los cifrados personalizados le permiten definir su propia lista de cifrado. Para configurar cifrados personalizados, debe establecer preferred-ciphers en custom. Ejemplo:

• Cifrados personalizados: los cifrados personalizados le permiten definir su propia lista de cifrado. Ejemplo:

  También puede utilizar los siguientes cifrados personalizados:

Siga estos pasos para configurar un proxy SSL con cifrados personalizados:

• Genere un certificado de AC raíz o puede importar su propio certificado de AC de confianza y claves públicas y privadas al dispositivo.

• Cree un perfil de proxy SSL y asocie un certificado de AC raíz (AC raíz o el certificado de servidor).

• Habilite preferred-cipher en el proxy SSL como un cifrado personalizado y adjunte un cifrado personalizado

Ejemplo:

En este ejemplo, se muestra cómo crear un cifrado personalizado. En este ejemplo, establezca preferred-cipher en custom y agregue la lista de cifrado (ecdhe-ecdsa-with-aes-256-cbc-sha384 y ecdhe-ecdsa-with-aes-128-cbc-sha256):

O bien

Continúe con la configuración del perfil de proxy SSL y la aplicación del perfil de proxy SSL a una política de seguridad.