如何关闭DES加密？DES和Triple DES 信息泄露漏洞(CVE-2016-2183)漏洞处理

Question

安全厂商扫描服务器存在【DES和Triple DES 信息泄露漏洞(CVE-2016-2183)】漏洞，该服务器并未使用https服务，openssl版本为1.1.1d，使用nmap检测得到：

443/tcp open  ssl/https?
| ssl-enum-ciphers:
|   SSLv3: No supported ciphers found
|   TLSv1.0:
|     ciphers:
|       TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA - strong
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA - strong
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA - strong
|       TLS_RSA_WITH_AES_128_CBC_SHA - strong
|       TLS_RSA_WITH_AES_256_CBC_SHA - strong
|       TLS_RSA_WITH_CAMELLIA_128_CBC_SHA - strong
|       TLS_RSA_WITH_CAMELLIA_256_CBC_SHA - strong
|     compressors:
|       NULL
|   TLSv1.1:
|     ciphers:
|       TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA - strong
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA - strong
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA - strong
|       TLS_RSA_WITH_AES_128_CBC_SHA - strong
|       TLS_RSA_WITH_AES_256_CBC_SHA - strong
|       TLS_RSA_WITH_CAMELLIA_128_CBC_SHA - strong
|       TLS_RSA_WITH_CAMELLIA_256_CBC_SHA - strong
|     compressors:
|       NULL
|   TLSv1.2:
|     ciphers:
|       TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA - strong
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA - strong
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 - strong
|       TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 - strong
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA - strong
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 - strong
|       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 - strong
|       TLS_RSA_WITH_AES_128_CBC_SHA - strong
|       TLS_RSA_WITH_AES_128_CBC_SHA256 - strong
|       TLS_RSA_WITH_AES_128_GCM_SHA256 - strong
|       TLS_RSA_WITH_AES_256_CBC_SHA - strong
|       TLS_RSA_WITH_AES_256_CBC_SHA256 - strong
|       TLS_RSA_WITH_AES_256_GCM_SHA384 - strong
|       TLS_RSA_WITH_CAMELLIA_128_CBC_SHA - strong
|       TLS_RSA_WITH_CAMELLIA_256_CBC_SHA - strong
|     compressors:
|       NULL
|_  least strength: strong

请问该如何修复？或者如何禁用DES加密套件？

Answer 1

不是linux关闭des，是有的软件用openssl加密采用了des算法，比如openssh、nginx的ssl证书，针对不同程序将其des相关配置项去掉，具体某个软件配置可以搜相关资料。
比如nginx ssl，在conf文件中有类似

 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;

的行，如果里面有DES字样，把其删掉。
再比如ssh，升级版本后应该就没问题了，我用nmap --script "ssh2*" <server_ip>没发现我的服务器有des :) 哈哈。

不过正常操作是升级openssl，具体可以用openssl+你那个漏洞关键字搜索相关资料。

Answer 2

我也遇到此类问题，可以参考该文档：https://blog.csdn.net/u010674...

如果公司业务用的域名-》负载均衡-》服务器 方式
可以直接修改负载均衡安全策略即可！

修改 https 443 SSL证书安全策略 此处用阿里云服务，参考文档：
https://help.aliyun.com/docum...
设置为： tls_cipher_policy_1_2_strict 即可