windows禁用rc4 算法

标签：选择   官网   https   nal   apache   date   服务   key   mac os x   

公司的Windows服务器被扫描出安全漏洞
SSL/TLS 受诫礼(BAR-MITZVAH)***漏洞(CVE-2015-2808)
和安全厂家沟通，漏洞是由rc4算法，引起的！把服务里面的rc4算法禁用就行了！
我们公司用的是iis的web服务，下面是iis禁用rc4算法方法！
如何完全禁用RC4方法
在进行以下注册表更改以完全禁用RC4之前，必须安装此安全更新（前提要下载一个Windows的包！）
此安全更新适用于本文中列出的Windows版本。但是，此注册表设置也可用于在较新版本的Windows中禁用RC4。

无论是否支持其他方支持的密码，不想使用RC4的客户端和服务器都可以通过设置以下注册表项来完全禁用RC4密码套件。以这种方式，与必须使用RC4的客户端或服务器通信的任何服务器或客户端都可以防止发生连接。部署此设置的客户端将无法连接到需要RC4的站点，部署此设置的服务器将无法为必须使用RC4的客户端提供服务。
[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Ciphers \ RC4 128/128]
“已启用”= dword：00000000
[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Ciphers \ RC4 40/128]
“已启用”= dword：00000000
[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Ciphers \ RC4 56/128]
“已启用”= dword：00000000
有关更多信息，请单击下面的文章编号，以查看Microsoft知识库中相应的文章：
245030如何限制在Schannel.dll中使用某些加密算法和协议
其他应用程序如何阻止使用基于RC4的密码套件
对于所有应用程序，默认情况下RC4未关闭。直接呼入SChannel的应用程序将继续使用RC4，除非他们选择使用安全选项。使用SChannel的应用程序可以通过将SCH_USE_STRONG_CRYPTO标志传递给SCHANNEL_CRED结构中的SChannel来阻止RC4密码套件的连接。如果必须保持兼容性，则使用SChannel的应用程序也可以实现不传递此标志的回退。
文件信息
此软件更新的英语（美国）版本将安装具有下表中列出的属性的文件。这些文件的日期和时间以协调世界时（UTC）列出。本地计算机上这些文件的日期和时间以当地时间和当前夏令时（DST）偏差显示。此外，当您对文件执行某些操作时，日期和时间可能会更改。
Windows 7和Windows Server 2008 R2文件信息
Windows 8和Windows Server 2012文件信息
修复方法是在微软官网找的，这是链接https://support.microsoft.com/en-us/help/2868725/microsoft-security-advisory-update-for-disabling-rc4

还有一些别的中间件禁用RC4 算法的方法，一并提出来，方便下次需要是查找

1、禁止apache服务器使用RC4加密算法
vi /etc/httpd/conf.d/ssl.conf
修改为如下配置
SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!RC4
重启apache服务
2、关于nginx加密算法
1.0.5及以后版本，默认SSL密码算法是HIGH:!aNULL:!MD5
0.7.65、0.8.20及以后版本，默认SSL密码算法是HIGH:!ADH:!MD5
0.8.19版本，默认SSL密码算法是 ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM
0.7.64、0.8.18及以前版本，默认SSL密码算法是ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP
低版本的nginx或没注释的可以直接修改域名下ssl相关配置为
ssl_ciphers "ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES
256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GC
M-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4";
ssl_prefer_server_ciphers on;
需要nginx重新加载服务

3、关于lighttpd加密算法
在配置文件lighttpd.conf中禁用RC4算法，例如：
ssl.cipher-list = "EECDH+AESGCM:EDH+AESGCM:ECDHE-RSA-AES128-GCM-SHA256:AES256+EECDH:AES256+EDH:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4"

重启lighttpd 服务。

4、tomcat参考:
https://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html
https://tomcat.apache.org/tomcat-7.0-doc/ssl-howto.html

5、浏览器手工屏蔽方案
Windows 用户：
1）完全关闭 Chrome 浏览器和Mozilla Firefox浏览器
2）复制一个平时打开 Chrome 浏览器(Mozilla Firefox浏览器)的快捷方式
3）在新的快捷方式上右键点击，进入属性
4）在「目标」后面的空格中字段的末尾输入以下命令 --cipher-suite-blacklist=0x0004,0x0005,0xc011,0xc007

Mac OS X 用户：
1）完全关闭 Chrome 浏览器
2）找到本机自带的终端（Terminal）
3）输入以下命令：/Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome --cipher-suite-blacklist=0x0004,0x0005,0xc011,0xc007

Linux 用户：
1）完全关闭 Chrome 浏览器
2）在终端中输入以下命令：google-chrome --cipher-suite-blacklist=0x0004,0x0005,0xc011,0xc007

windows禁用rc4 算法

标签：选择   官网   https   nal   apache   date   服务   key   mac os x   

原文地址：http://blog.51cto.com/13654115/2288348