cifras específicas de VSFTPD

Question

Estou procurando uma maneira de definir o conjunto de criptografia personalizado para o VSFTPD no servidor Ubuntu.

Descobri que posso especificar cifras via HIGH / MEDIUM / LOW. No entanto, isso não é suficiente para mim, já que preciso configurar todos os códigos manualmente.

Existe uma maneira de fazer isso?

    

Answer 1

do manual vsftpd.conf eu consigo ler

ssl_ciphers
              This option can be used to select which SSL ciphers vsftpd  will
              allow  for  encrypted  SSL connections. See the ciphers man page
              for further details. Note that restricting ciphers can be a use‐
              ful  security precaution as it prevents malicious remote parties
              forcing a cipher which they have found problems with.

              Default: DES-CBC3-SHA

Então, se eu verificar o manual de cifras (parte do openssl), ele fornece todos os tipos de cifras que você pode usar. Na verdade, BAIXO / MÉDIO / ALTO são definidos como este

HIGH
    "high" encryption cipher suites. This currently means those with key lengths larger than 128
           bits, and some cipher suites with 128-bit keys.

MEDIUM
    "medium" encryption cipher suites, currently some of those using 128 bit encryption.

LOW 
    "low" encryption cipher suites, currently those using 64 or 56 bit encryption algorithms but
           excluding export cipher suites.

Então, basicamente, você pode usar qualquer uma das strings de criptografia especificadas no manual de cifras.

    

Answer 2

Recentemente, descobri que é perfeitamente possível definir cifras personalizadas; Veja este exemplo:

ssl_ciphers=ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES256-SHA

Além disso, não que o OP tenha perguntado, mas sinto que posso compartilhar outra possibilidade de segurança.

Isso está habilitando apenas o TLS 1.1 e o TLS 1.2. Isso pode ser conseguido com:

ssl_tlsv1=NO

No final, recomendo testar sua configuração, por exemplo, na Ponte High-Tech , onde você pode facilmente depurar sua configuração .

Esta é apenas uma amostra: