Como configuro o xcat para não usar cifras fracas?

Question

Meu scanner de vulnerabilidade está tendo problemas com a configuração SSL no serviço xcatd em execução na porta 3001. O scanner pode fazer as seguintes conexões:

Medium Strength Ciphers (>= 56-bit and < 112-bit key)

SSLv3 DES-CBC-SHA Kx=RSA Au=RSA Enc=DES(56) Mac=SHA1
TLSv1 DES-CBC-SHA Kx=RSA Au=RSA Enc=DES(56) Mac=SHA1

The fields above are : {OpenSSL ciphername} Kx={key exchange} Au={authentication} Enc={symmetric encryption method} Mac={message authentication code} {export flag}

Esta é uma boa configuração de referência para um servidor web popular, mas não sei como traduzi-lo para o xcat:

SSLProtocol -ALL +SSLv3 +TLSv1
SSLCipherSuite ALL:!ADH:!aNULL:!eNULL:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUM

    

Answer 1

A configuração do xcat xcatsslciphers corresponde ao IO: : Socket :: SSL configuração SSL_Cipher_list, que leva exatamente a mesma entrada que a diretiva SSLCipherSuite no Apache.

sudo sqlite3 /etc/xcat/site.sqlite

insert into site (key, value) VALUES ('xcatsslciphers', 'ALL:!ADH:!aNULL:!eNULL:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUM');

Você pode verificar o valor de configuração da seguinte forma:

select * from site order by key;
.exit

Reinicie o xcat:

sudo service xcatd restart

Verifique a segurança:

openssl s_client -connect localhost:3001 -cipher DES-CBC-SHA -tls1

Você não deve ver um certificado.