Zayıf cipher'ları nasıl devre dışı bırakırım?

Kısa cevap

Bir TLS Security Profile'ın Cipher Algorithms alanında güçlü bir hazır set (General, Strict Secure ya da Strict Hardware Accelerated) seçilir ya da Manual seçilip Algorithm List alanında paketler tek tek belirlenir ve RC4, 3DES, SHA1 gibi zayıf aileler ! ile hariç tutulur; liste bir metin dosyasından Import Ciphers ile de alınabilir. Profil vService'in Details panelindeki SSL Security modülünde seçilir; TR7'nin Kurum Servisi bağlantısı için aynı profil Backend SSL Security Profile alanında kullanılır. Bu ayar TLS 1.2 ve önceki sürümlerin paketlerini belirler; TLS 1.3 paketleri zaten güçlüdür.

Sorun: Taramalar Zayıf Şifreleme Paketleri Buluyor

Eski istemcilerle uyumluluk için açık bırakılan RC4, 3DES ve SHA1 tabanlı paketler ile forward secrecy sağlamayan statik RSA anahtar değişimli paketler güvenlik taramalarında bulgu olarak çıkar ve SSL Labs notunu düşürür. Varsayılan profildeki Only Secure Ones seti (HIGH:!aNULL:!MD5) de ileri gizliliği olmayan ve SHA1'li CBC paketlerini içerir. Sunulan paketlerin güçlü olanlarla sınırlanması gerekir.

Çözüm: Dört Yöntem

Yöntem 1 ve 2 aynı profil alanını farklı biçimde doldurur; Yöntem 3 aynı ayarı komut satırından yapar; Yöntem 4 TR7'nin sunucu bağlantısı içindir.

Durumunuz	Uygun yöntem
Hazır, güçlü bir set yeterli	Yöntem 1: Hazır set
Paket listesini tek tek belirlemek ya da bir dosyadan almak	Yöntem 2: Manual liste ve Import Ciphers
Komut satırından	Yöntem 3: WEB-CLI
TR7'nin Kurum Servislerine kurduğu TLS bağlantısı	Yöntem 4: Backend SSL Security Profile

Hazır setler:

Set	İçerik	Öneri
General	İleri gizlilikli (ECDHE/DHE) sekiz GCM ve CHACHA20 paketi	İnternete açık servisler
Strict Secure	Yalnızca forward secrecy + AEAD; statik RSA, SHA1, 3DES/RC4, CAMELLIA/ARIA hariç	En sıkı uyumlu set
Strict Legacy Compatible	Strict Secure + eski istemciler için ECDHE/DHE ile AES-CBC (SHA256 ve üzeri)	Eski istemci varsa
Strict Hardware Accelerated	Yalnızca forward secrecy + AES-GCM	AES donanım hızlandırması olan ortamlar
Only Secure Ones	HIGH:!aNULL:!MD5 (Default Profile)	İleri gizliliksiz ve SHA1'li paketleri de içerir
Old Client Supported, Hardware Supported	CBC-SHA, DES-CBC3-SHA, RC4 gibi zayıf paketler dahil	Kaçınılır
TLS v1.3 Compatible	Yalnızca TLS 1.3 paket adları	TLS 1.2 paketi içermez; TLS 1.3'e zorlamak için set yerine Min. SSL Version = TLSv1.3 kullanılır

Yöntem 1: Hazır Set Önerilen

• Nasıl çalışır Seçilen hazır set, profili kullanan vService'lerin şifreli frontend satırlarında kabul edilen paketleri belirler.
• Nerede açılırCertificates & PKI → TLS Security Profiles → Add / Edit → Cipher Algorithms
• Gereksinim vService'te şifreli frontend (Encrypted (HTTPS) ya da TCP + TLS)
• vService tipi HTTP, L7 TCP

Adım adım yapılandırma

1

Adım 1 Profil formunu aç

Sol alttaki TR7 logosuyla Configuration Menu açılır; Certificates & PKI → TLS Security Profiles ekranında Add tıklanır (nasıl eklenir); vService'te kullanılan özel bir profil varsa o profil seçilip Edit tıklanır.

2

Adım 2 Adı gir

Security Profile Name girilir. Aynı formda Min. SSL Version TLSv1.2 yapılırsa eski sürümler de kapanır (TLS 1.0/1.1'i nasıl kapatırım; TLS 1.3 destekleniyor mu?).

3

Adım 3 Seti seç

Cipher Algorithms alanında (varsayılan Only Secure Ones) General, Strict Secure ya da Strict Hardware Accelerated seçilir. Hazır set seçildiğinde profilde saklanan Manual liste silinir.

4

Adım 4 Profili kaydet

Formun altındaki Add tıklanır (mevcut profilde Edit); düzenlenen profil onu kullanan bütün vService'lere yeniden uygulanır.

5

Adım 5 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService seçilip Edit tıklanır.

6

Adım 6 Profili seç

Details panelinde Frontend Settings altındaki SSL Security kutusu işaretlenir ve profil seçilir (vService'te profil seçimi).

7

Adım 7 Kaydet

Save tıklanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1Sunulan paketlerTR7 tarafı

TR7 WEB-CLI'da sslscan çalıştırılır; istemci tarafında nmap --script ssl-enum-ciphers -p 443 203.0.113.10 da aynı listeyi verir.

Komut: sys-cmd sslscan --sni-name=www.example.com 203.0.113.10:443

BeklenenYalnızca ECDHE/DHE + GCM/CHACHA20 paketleri; RC4, 3DES, SHA1 yok

Yöntem 2: Manual Liste ve Import Ciphers

• Nasıl çalışır Kabul edilecek paketler ve hariç tutulacak aileler tek tek seçilir; ! ile başlayan öğeler o aileyi hariç tutar. Seçim sırası sunucunun tercih sırasıdır. Liste, her satırında bir paket adı bulunan bir metin dosyasından da alınabilir.
• Nerede açılır Profil formu → Cipher Algorithms = Manual → Algorithm List · Import Ciphers
• Gereksinim Elle seçimde yok; içe aktarmada en fazla 16 KB'lık metin dosyası
• vService tipi HTTP, L7 TCP

Adım adım yapılandırma

1

Adım 1 Profil formunu aç

Certificates & PKI → TLS Security Profiles ekranında Add tıklanır ya da mevcut profil seçilip Edit tıklanır; yeni profilde Security Profile Name girilir.

2

Adım 2 Listeyi oluştur

Elle oluşturmak için Cipher Algorithms = Manual seçilir; görünen Algorithm List alanında istenen paketler (ör. ECDHE+AESGCM, ECDHE+CHACHA20) sırayla seçilir ve zayıf aileler !RC4, !3DES, !SHA1, !kRSA, !aNULL, !MD5 gibi öğelerle hariç tutulur. Dosyadan almak için alanın üstündeki Import Ciphers tıklanıp dosya seçilir; alan kendiliğinden Manual'e geçer ve tanınmayan adlar CIPHERS NOT ADDED uyarısıyla listelenir. Liste boş bırakılırsa motorun varsayılan listesi geçerli olur.

3

Adım 3 Profili kaydet

Formun altındaki Add (ya da Edit) tıklanır.

4

Adım 4 Profili vService'e ata

Profil Yöntem 1'in 5–7. adımlarıyla vService'te seçilir ve vService kaydedilir.

Doğrulama

1Liste ve sunulan paketlerTR7 tarafı

Profil formundaki Export Ciphers (N) butonunun üzerine gelindiğinde etkin liste görünür; ardından Yöntem 1'deki sslscan denetimi yapılır.

BeklenenHariç tutulan aileler sslscan çıktısında yok

Yöntem 3: WEB-CLI

• Nasıl çalışır Profilin cipher seti komut satırından değiştirilir. WEB-CLI ile yeni oluşturulan profilde --cipherAlgorithm yazılmazsa zayıf Hardware Supported seti kaydedilir; set her zaman açıkça yazılır.
• Nerede açılır TR7 WEB-CLI → lb ssl-security update · lb ssl-security add
• Gereksinim WEB-CLI erişimi
• vService tipi HTTP, L7 TCP

Adım adım yapılandırma

1

Adım 1 Hazır seti değiştir

Mevcut profilin seti hazır bir setle değiştirilir (sürüm ve şifre alanları); <profil> yerine profil adı Tab ile seçilir:

lb ssl-security update id <profil> --cipherAlgorithm strictSecure

2

Adım 2 Manual listeli profil oluştur (gerekiyorsa)

Elle liste gerekiyorsa yeni bir profil oluşturulur; liste sırası tercih sırasıdır:

lb ssl-security add name strict-manual --minSslVersion TLSv1.2 --cipherAlgorithm manual --manualCipherAlgorithmList.0 ECDHE+AESGCM --manualCipherAlgorithmList.1 ECDHE+CHACHA20 --manualCipherAlgorithmList.2 !SHA1 --manualCipherAlgorithmList.3 !kRSA

Profil lb service update id <vService> --sslSecurity strict-manual ile vService'e atanır.

Doğrulama

1Sunulan paketlerTR7 tarafı

Yöntem 1'deki sslscan denetimi yapılır.

Komut: sys-cmd sslscan --sni-name=www.example.com 203.0.113.10:443

BeklenenZayıf paket yok

Yöntem 4: Backend SSL Security Profile

• Nasıl çalışır TR7'nin Kurum Servisine kurduğu TLS bağlantısında kullanılacak paketler bir profille sınırlanır; profil seçiliyken Kurum Servisindeki Ciphers (Standard / Low) alanı uygulanmaz.
• Nerede açılırLoad Balancer → Backend Services → Edit → SSL Service → Backend SSL Security Profile
• Gereksinim Kurum Servisinde SSL Service açık
• vService tipi HTTP, L7 TCP

Adım adım yapılandırma

1

Adım 1 Profili hazırla (gerekiyorsa)

Güçlü sete sahip profil yoksa Yöntem 1'in 1–4. adımlarıyla oluşturulur.

2

Adım 2 Kurum Servisinin düzenleme formunu aç

Load Balancer → Backend Services ekranında Kurum Servisi seçilip Edit tıklanır; SSL Service açık olmalıdır.

3

Adım 3 Profili seç

Backend SSL Security Profile alanında (varsayılan None) profil seçilir.

4

Adım 4 Kaydet

Formun altındaki Edit tıklanır; Kurum Servisini kullanan bütün vService'lerin sunucu bağlantısı bu paketlerle kurulur.

Doğrulama

1Sunucu bağlantısıTR7 tarafı

Load Balancer → Backend Services listesinde Kurum Servisinin sağlık durumuna bakılır; sunucu bu paketlerden hiçbirini desteklemiyorsa bağlantı kurulamaz.

BeklenenKurum Servisi sağlıklı, trafik akıyor

Sık Yapılan Hatalar

• Only Secure Ones setini en güvenli set sanmak. Bu set ileri gizliliği olmayan ve SHA1'li CBC paketlerini de içerir; güçlü yapılandırma için General ya da Strict setlerden biri seçilir.
• TLS 1.3'e zorlamak için TLS v1.3 Compatible setini seçmek. Bu set TLS 1.2 paketi içermez; sürüm kısıtı Min. SSL Version = TLSv1.3 ile yapılır.
• Listeyle TLS 1.3 paketlerini değiştirmeyi beklemek. Cipher listesi TLS 1.2 ve önceki sürümlerin paketlerini belirler; TLS 1.3 bağlantıları motorun TLS 1.3 paketlerini kullanır.
• WEB-CLI'da set belirtmeden profil oluşturmak. WEB-CLI ile oluşturulan profilde varsayılan set Hardware Supported'dır; --cipherAlgorithm açıkça yazılır.
• Profili oluşturup vService'te seçmemek. Profil, vService'te SSL Security kutusu işaretlenip seçilmedikçe uygulanmaz.

Dokümantasyonda nasıl yapılır

• TLS Security Profiles · Cipher Algorithms
• TLS Security Profiles · Algorithm List
• TLS Security Profiles · Import Ciphers / Export Ciphers
• Backend Services · Backend SSL Security Profile

İlgili sorular

• Cipher listelerini içe/dışa aktarabilir miyim?
• TLS 1.0/1.1'i nasıl kapatırım; TLS 1.3 destekleniyor mu?
• SSL Labs'ten A+ almak için neler yapmalıyım?