So beheben Sie die Nessus-Scan-Schwachstelle „TLS Version 1.0 Protocol Detection and TLS Version 1.1 Protocol Deprecated ⇐ Java

[Anonymous]

Wir führen unsere Java-Anwendung auf der Betriebssystemplattform RHEL 8.5 aus. In der ssl.conf-Datei unseres Apache haben wir nur das TLSv1.2-Protokoll aktiviert. Und wir verwenden in unserer Anwendung keine TLSv1- und TLSv1.1-Protokolle.
Aus den folgenden Details wird bestätigt, dass die oben genannten Protokolle auch aus Sicht des Betriebssystems deaktiviert sind.

Code: Select all

update-crypto-policies --show
DEFAULT

Von RHEL wird bestätigt, dass „die Protokolle der TLS-Versionen TLS 1.0 und TLS 1.1 in der systemweiten kryptografischen Richtlinienebene DEFAULT deaktiviert sind.“
Und anhand der folgenden Befehlsergebnisse wird bestätigt, dass TLS 1.0 und TLS 1.1 auf der Anwendungsseite deaktiviert sind.

Code: Select all

[root@test ~]# openssl s_client -connect :8443 -tls1
CONNECTED(00000003)
139679030896448:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:ssl/record/rec_layer_s3.c:1544:SSL alert number 70
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 104 bytes
Verification: OK
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
Protocol  : TLSv1
Cipher    : 0000
Session-ID:
Session-ID-ctx:
Master-Key:
PSK identity: None
PSK identity hint: None
SRP username: None
Start Time: 1662128840
Timeout   : 7200 (sec)
Verify return code: 0 (ok)
Extended master secret: no
-----------------------------------------

[root@test ~]# nmap -sV --script ssl-enum-ciphers -p 8443 
Starting Nmap 7.70 ( https://nmap.org ) at 2022-09-20 20:02 IST
mass_dns: warning: Unable to open /etc/resolv.conf. Try using --system-dns or specify valid servers with --dns-servers
mass_dns: warning: Unable to determine any DNS servers. Reverse DNS is disabled. Try using --system-dns or specify valid servers with --dns-servers
Nmap scan report for XXXXX (IP_ADDRESS)
Host is up (0.00067s latency).

PORT     STATE SERVICE  VERSION
8443/tcp open  ssl/http Apache httpd
|_http-server-header: Apache
| ssl-enum-ciphers:
|   TLSv1.2:
|     ciphers:
|       TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (secp256r1) - A
|     compressors:
|       NULL
|     cipher preference: client
|_  least strength: A
MAC Address: 00:50:56:A7:92:7B (VMware)

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 12.90 seconds

-----------------------------------------

Die Konfigurationen finden Sie unter „ssl.conf“,

Code: Select all

SSLProtocol -ALL +TLSv1.2
SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:AES256-CCM:DHE-RSA-AES256-CCM

Aber wir sind uns nicht sicher, warum die Nessus-Scan-Schwachstelle die Protokolle TLS 1.0 und TLS 1.1 anzeigt, obwohl diese beiden Protokolle in allen Fällen deaktiviert sind.
Details zur Sicherheitslücke sind unten aufgeführt:

• 104743 TLS Version 1.0-Protokoll Erkennung
• 157288 TLS Version 1.1-Protokoll veraltet

Vom Nessus-Team haben wir erfahren, dass Port 4567 die folgenden Chiffren verwendet:

Code: Select all

TLS1_DHE_DSS_WITH_AES_128_CBC_SHA256
TLS1_DHE_DSS_WITH_AES_256_CBC_SHA256
TLS1_CK_DHE_DSS_WITH_AES_128_CBC_SHA
TLS1_CK_DHE_DSS_WITH_AES_256_CBC_SHA
TLS1_CK_DHE_DSS_WITH_3DES_EDE_CBC_SHA

In unserer Anwendung verwenden wir Port 4567 als TRUSTSTORE_PORT, wo die erforderlichen Zertifikate für die Ausführung der Anwendung heruntergeladen werden.
Wir haben jedoch nur das TLSv1.2-Protokoll aktiviert. Wie werden die TLS1-Verschlüsselungen aktiviert?
Bitte lassen Sie mich wissen, wie ich diese Schwachstellen beheben kann.
Vielen Dank im Voraus.