- PR -

Nessusのスキャンレポートについて

1
投稿者投稿内容
いれぎゅらー
会議室デビュー日: 2003/04/23
投稿数: 7
投稿日時: 2004-11-24 14:23
自社のWEBサーバーの脆弱性チェックの為
NessusServerをセットアップし、
WEBサーバーに対しチェックを実行しました。

出力されたレポートを元に、大部分の脆弱性は対応したのですが、
下記の件がどうも理解できません。

------ココから
[https (443/tcp)]

The SSLv2 server offers 5 strong ciphers, but also
0 medium strength and 2 weak "export class" ciphers.
The weak/medium ciphers may be chosen by an export-grade
or badly configured client software. They only offer a
limited protection against a brute force attack

対処方法 : disable those ciphers and upgrade your client
software if necessary
Nessus ID : 10863
ココ迄------

httpsで使用するSSLの事を言っていると思うのですが。
（一応openSSL,mod_ssl共に最新パッチを当てています）

サイトを巡り調べてみたのですが、具体的な対応策などが
未だに分かりません。
お手数ですが、このメッセージの本来の意味と対策方法をご教授願います。
宜しくお願いいたします。
あんとれ
ぬし
会議室デビュー日: 2004/01/14
投稿数: 556
投稿日時: 2004-11-24 21:21
訳すと、

SSLv2 サーバは 5 個の強度な暗号化方式を提供するが、0 個の中程度、2 個の弱いな輸出版の暗号化方式も提供しています。クライアントの設定次第ではこれらの中程度／弱い暗号化方式が選択されるかもしれない。・・・。

対処方法 : 中程度／弱い暗号化方式を無効にし、必要ならクライアントソフトのバージョンアップを行って下さい。

具体的には、

SSLCipherSuite ALL:!MEDIUM:!LOW:!EXP:!aNULL:!SSLv2:@STRENGTH

としてみてください。多分解決すると思います。
ただし、現実的ではありませんので、

SSLCipherSuite ALL:!LOW:!EXP:!aNULL:!SSLv2:@STRENGTH

くらいにしておいた方がよいと思います。(多分これでも出なくなるでしょう)

さらに言うと、SSLv2 と書いてあるのでこれを無効にする (!SSLv2) だけで出なくなるかもしれません。


[ メッセージ編集済み 編集者: あんとれ 編集日時 2004-11-24 21:26 ]
1

スキルアップ／キャリアアップ（JOB@IT）