Lista de suporte a criptografia SSL por navegador

Question

Não tenho certeza se esse é o SE apropriado para postar isso, mas aqui está: Existe alguma referência online para quais criptografias SSL são suportadas pelos vários navegadores? Basicamente, estou interessado em sistemas de proteção, garantindo comprimentos de chave mais baixos e antigos como algoritmos de sujeira (DES e 3DES) não são usados para comunicação com o cliente.

A maneira de fazer isso (pelo menos com o Apache mod_ssl) parece ser controlar as cifras suportadas que o servidor fornece durante o handshake.

Eu quero ser capaz de responder a perguntas como "Se eu forçar o AES256, quais navegadores vão quebrar?"

Para alguns sites isso é desejável, pois nos dá algumas garantias quanto à confidencialidade da conversa. Se o navegador deles apenas suportar o que é considerado uma conexão insegura, nós queremos que a sessão seja interrompida, para que eles sejam forçados a usar um cliente mais moderno / robusto.

    

Answer 1

Este é o caminho certo para resolver o problema?

Todo servidor SSL / TLS deve (deve?) fornecer um mecanismo para especificar uma preferência de ciphersuite e cifras disponíveis: se você não quiser usar algoritmos inseguros, não os configure. Dê uma prioridade mais alta a cifras mais strongs (se a segurança for sua prioridade).

Obviamente, não podemos dizer qual conjunto de cifras atende aos seus requisitos de segurança. No entanto, manter uma lista das cifras suportadas nos navegadores de seus clientes é uma grande tarefa. E é um que grandes empresas como Google, Paypal, eBay e outros empreendem ativamente - porque não apenas testar o que eles estão oferecendo atualmente ?

(tenha em mente que alguns sites usarão HTTPS apenas como um trampolim para negociar o SPDY).