【案例63】SSL RC4 加密套件支持检测 (Bar Mitzvah)修复方案

漏洞详情信息

漏洞名称

SSL RC4 加密套件支持检测 (Bar Mitzvah)

漏洞等级

高

漏洞描述

远程主机支持在一个或多个密码组中使用 RC4。
RC4 密码在伪随机字节流的生成中存在缺陷，导致引入了各种各样的小偏差，降低了其随机
性。
如果反复加密明文（例如 HTTP cookie），并且攻击者能够获得许多（即上千万）密文，则
该攻击者可能会推测出明文。

漏洞影响

攻击者可利用大量的密文推测明文，导致远程主机信息泄露。

漏洞修复方案

方案一(如果有Nginx或者Apache禁用RC4)

方案描述

如果可能，请重新配置受影响的应用程序以避免使用 RC4 密码。可以考虑在浏览器和 Web
服务器的支持下将 TLS 1.2 用于 AES-GCM 组。

修复流程

找到ssl 配置文件 > 禁用RC4 密码组 > 重启服务 > 检查是否禁用成功 > 完成

步骤1：找到ssl 配置文件

Apache 配置文件

vi /apache/conf/extra/httpd-ssl.conf使用yum 源下载的则：vi /etc/httpd/conf.d/ssl.conf

Nginx 配置文件

vi /etc/nginx/nginx.conf

其他服务器以实际情况为准。

步骤2 禁用RC4 密码组

找到SSL 密码组配置，Apache 中为：SSLCipherSuite、Nginx 中为：ssl_ciphers
如果配置中存在:RC4 密码组，如图

将其改为:!RC4，如果不存在，新增即可。

步骤3 重启服务

### 如果做成了服务
Apache：systemctl restart httpd
Nginx：systemctl restart nginx### 如果非服务模式Apache：/apache/bin/httpd -s restart
Nginx：/nginx/sbin/nginx -s restart

步骤4 检查是否禁用成功

openssl s_client -connect IP 地址:443 -cipher RC4

如图表示已禁用成功

方案二 Windows（无Apache、Nginx）

操作前提Windows2008R2 必须先安装补丁kb4103712

https://catalog.s.download.windowsupdate.com/c/msdownload/update/software/secu/2018/04/windows6.1-
kb4103712-x64_44bc3455369066d70f52da47c30ca765f511cf68.msu

Windows2012R2必须先安装以下补丁：KB2919355

https://www.microsoft.com/zh-CN/download/details.aspx?id=42334
KB4103715
http://download.windowsupdate.com/c/msdownload/update/software/secu/2018/04/windows8.1-kb4103715-
x64_43bebfcb5be43876fb6a13a4eb840174ecb1790c.msu

Windows2016必须先安装以下补丁：KB4103723

https://catalog.s.download.windowsupdate.com/d/msdownload/update/software/secu/2018/05/windows10.0-
kb4103723-x64_delta_9c58708904a7320f572dd37c484ca0a6d58ffbb7.msu

修复流程

步骤1 打开本地组策略编辑器

按下Win+R，输入 gpedit.msc 进入到本地组策略编辑器

步骤2 打开SSL 配置设置

依次打开：计算机配置 —> 管理模板 —> 网络 —> SSL 配置设置

步骤3 修改SSL 密码套件顺序置

双击 SSL 密码套件顺序，选择“已启用”，SSL 密码套件中输入如下内容：

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AE
S_128_GCM_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521,TLS_
ECDHE_ECDSA,WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256
_GCM_SHA384_P521,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_C
BC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_RSA_WIT
H_AES_128_CBC_SHA256_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521,TLS
_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC
_SHA384_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521,TLS_ECDHE_ECDSA
_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P
384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_ECDSA_WITH_
AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521,TLS
_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,T
LS_RSA_WITH_NULL_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AE
S_128_CBC_SHA