windows禁用rc4 算法

公司的Windows服务器被扫描出安全漏洞
SSL/TLS 受诫礼(BAR-MITZVAH)***漏洞(CVE-2015-2808)
和安全厂家沟通,漏洞是由rc4算法,引起的!把服务里面的rc4算法禁用就行了!
我们公司用的是iis的web服务,下面是iis禁用rc4算法方法!
如何完全禁用RC4方法
在进行以下注册表更改以完全禁用RC4之前,必须安装此安全更新(前提要下载一个Windows的包!)
此安全更新适用于本文中列出的Windows版本。但是,此注册表设置也可用于在较新版本的Windows中禁用RC4。

无论是否支持其他方支持的密码,不想使用RC4的客户端和服务器都可以通过设置以下注册表项来完全禁用RC4密码套件。以这种方式,与必须使用RC4的客户端或服务器通信的任何服务器或客户端都可以防止发生连接。部署此设置的客户端将无法连接到需要RC4的站点,部署此设置的服务器将无法为必须使用RC4的客户端提供服务。
[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Ciphers \ RC4 128/128]
“已启用”= dword:00000000
[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Ciphers \ RC4 40/128]
“已启用”= dword:00000000
[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Ciphers \ RC4 56/128]
“已启用”= dword:00000000
有关更多信息,请单击下面的文章编号,以查看Microsoft知识库中相应的文章:
245030如何限制在Schannel.dll中使用某些加密算法和协议
其他应用程序如何阻止使用基于RC4的密码套件
对于所有应用程序,默认情况下RC4未关闭。直接呼入SChannel的应用程序将继续使用RC4,除非他们选择使用安全选项。使用SChannel的应用程序可以通过将SCH_USE_STRONG_CRYPTO标志传递给SCHANNEL_CRED结构中的SChannel来阻止RC4密码套件的连接。如果必须保持兼容性,则使用SChannel的应用程序也可以实现不传递此标志的回退。
文件信息
此软件更新的英语(美国)版本将安装具有下表中列出的属性的文件。这些文件的日期和时间以协调世界时(UTC)列出。本地计算机上这些文件的日期和时间以当地时间和当前夏令时(DST)偏差显示。此外,当您对文件执行某些操作时,日期和时间可能会更改。
Windows 7和Windows Server 2008 R2文件信息
Windows 8和Windows Server 2012文件信息
修复方法是在微软官网找的,这是链接https://support.microsoft.com/en-us/help/2868725/microsoft-security-advisory-update-for-disabling-rc4

还有一些别的中间件禁用RC4 算法的方法,一并提出来,方便下次需要是查找

1、禁止apache服务器使用RC4加密算法
vi /etc/httpd/conf.d/ssl.conf
修改为如下配置
SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!RC4
重启apache服务
2、关于nginx加密算法
1.0.5及以后版本,默认SSL密码算法是HIGH:!aNULL:!MD5
0.7.65、0.8.20及以后版本,默认SSL密码算法是HIGH:!ADH:!MD5
0.8.19版本,默认SSL密码算法是 ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM
0.7.64、0.8.18及以前版本,默认SSL密码算法是ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP
低版本的nginx或没注释的可以直接修改域名下ssl相关配置为
ssl_ciphers "ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES
256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GC
M-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4";
ssl_prefer_server_ciphers on;
需要nginx重新加载服务

3、关于lighttpd加密算法
在配置文件lighttpd.conf中禁用RC4算法,例如:
ssl.cipher-list = "EECDH+AESGCM:EDH+AESGCM:ECDHE-RSA-AES128-GCM-SHA256:AES256+EECDH:AES256+EDH:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4"

重启lighttpd 服务。

4、tomcat参考:
https://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html
https://tomcat.apache.org/tomcat-7.0-doc/ssl-howto.html

5、浏览器手工屏蔽方案
Windows 用户:
1)完全关闭 Chrome 浏览器和Mozilla Firefox浏览器
2)复制一个平时打开 Chrome 浏览器(Mozilla Firefox浏览器)的快捷方式
3)在新的快捷方式上右键点击,进入属性
4)在「目标」后面的空格中字段的末尾输入以下命令 --cipher-suite-blacklist=0x0004,0x0005,0xc011,0xc007

Mac OS X 用户:
1)完全关闭 Chrome 浏览器
2)找到本机自带的终端(Terminal)
3)输入以下命令:/Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome --cipher-suite-blacklist=0x0004,0x0005,0xc011,0xc007

Linux 用户:
1)完全关闭 Chrome 浏览器
2)在终端中输入以下命令:google-chrome --cipher-suite-blacklist=0x0004,0x0005,0xc011,0xc007

转载于:https://blog.51cto.com/13654115/2288348

你可能感兴趣的:(windows禁用rc4 算法)