xaero1982
Goto Top

Cipher Suite Exchange 2019

Moin Zusammen,

ich habe mal eine Frage bzgl. der Cipher Suites.

Es gibt zwar viele Seiten, aber gefühlt keine bei der mal klar gezeigt wird wie ich was deaktiviere oder aktiviere.

Wenn ich über https://hardenize.com verschiedene Server prüfe fällt mir folgendes auf:

Office 365: Cipher Suite: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 256 bits (ECDHE 256 bits)

Exchange 2019:
TLS_RSA_WITH_AES_128_CBC_SHA  128 bits
TLS_RSA_WITH_AES_256_CBC_SHA  256 bits
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA  128 bits (ECDHE 256 bits)
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA  256 bits (ECDHE 256 bits)
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256  128 bits (ECDHE 256 bits)
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384  256 bits (ECDHE 256 bits)
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256  128 bits (ECDHE 256 bits)
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384  256 bits (ECDHE 256 bits)
TLS_RSA_WITH_AES_128_CBC_SHA256  128 bits
TLS_RSA_WITH_AES_256_CBC_SHA256  256 bits
TLS_RSA_WITH_CAMELLIA_128_CBC_SHA  128 bits
TLS_RSA_WITH_CAMELLIA_256_CBC_SHA  256 bits
TLS_RSA_WITH_AES_128_GCM_SHA256  128 bits
TLS_RSA_WITH_AES_256_GCM_SHA384  256 bits 

Schaue ich nun bei dem Exchange nach z.b. mit IIS Crypo oder über die PS mit Get-TlsCipherSuite bekomme ich diese Info

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

Wo kommen die TLS_RSA her? Können die von einer vorgelagerten Sophos UTM kommen?

Da es ja offenbar mit Office 365 alles zu klappen scheint, dürfte es doch reichen, wenn ich nur die oben genannte einfüge, oder?

Beste Grüße und Danke

Content-ID: 8166310253

Url: https://administrator.de/contentid/8166310253

Printed on: December 12, 2024 at 16:12 o'clock

user217
user217 Aug 16, 2023 updated at 13:49:50 (UTC)
Goto Top
Jede Software die installiert ist kann nur jene benutzen welche vom Hostsystem zugelassen/bevorzugt sind.
z.B. HIER
siehe: HKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
z.B. ein Enabled=0 hilft hier nix, nur DisabledbyDefault=1
siehe Hier
Xaero1982
Xaero1982 Aug 16, 2023 at 13:50:00 (UTC)
Goto Top
Okay. Ich habe gerade mal eine deaktiviert auf dem Exchange und getestet. Unverändert. Ich vermute die kommen von der UTM, auf der man das irgendwie wohl nur schwer oder gar nicht abschalten kann.
user217
user217 Aug 16, 2023 at 13:56:13 (UTC)
Goto Top
am XG WAF kann man da nix machen die sind hardcoded, siehe hier denke auf der utm ist das nicht anders.
Was du da sagst kann gar nicht sein, wie soll ein Remotesystem deinem Exchange diktieren welche verschlüsselungssammlungen benutzt werden. Das wäre ja geil ;)
Ich könnte mir höchstens noch vorstellen das die Verschlüsselungssammlungen vom .NET 4.8 SCHANNEL Regkey abgeleitet werden.
user217
user217 Aug 16, 2023 at 14:02:05 (UTC)
Goto Top
Hab falsch gedacht, du testest ja von extern deinen WAF. Na dann ist klar das der die von sophos nimmt.. dürften auch diese hier sein:

TLS_RSA_WITH_AES_256_GCM_SHA384 256 bits
TLS_RSA_WITH_AES_128_GCM_SHA256 128 bits
TLS_RSA_WITH_AES_256_CCM_8 256 bits
TLS_RSA_WITH_AES_256_CCM 256 bits
TLS_RSA_WITH_AES_128_CCM_8 128 bits
TLS_RSA_WITH_AES_128_CCM 128 bits
TLS_RSA_WITH_AES_256_CBC_SHA256 256 bits
TLS_RSA_WITH_AES_128_CBC_SHA256 128 bits
TLS_RSA_WITH_AES_256_CBC_SHA 256 bits
TLS_RSA_WITH_AES_128_CBC_SHA 128 bits

Aber das kann dir doch A.. vorbei gehen wenn der Exchange die intern gar nicht annimmt..
Xaero1982
Xaero1982 Aug 16, 2023 at 14:08:37 (UTC)
Goto Top
Leider kann es mir nicht am A... vorbei gehen, weil der Geschäftspartner von dem Kunden sagt: Das ist veraltet und deren Mailserver die Mails entsprechend nicht zustellt.
LordGurke
LordGurke Aug 17, 2023 updated at 01:24:38 (UTC)
Goto Top
Der Begriff "Cipher" ist hier eigentlich nicht ganz korrekt, das Problem ist die Schlüsselaushandlung. Wenn kein Perfect Forward Secrecy (PFS) mit Elliptic Curve (ECxxx) genutzt wird, ist die Schlüsselaushandlung angreifbar. Deshalb wird seit bestimmt schon 10 Jahren dringend geraten nur EC-Schlüsselaushandlung zu verwenden.
Da hat euer Geschäftspartner schonmal recht.

Dass eine Gegenstelle aber die Verbindung abbricht, weil schwache Schlüsselaushandlung möglich ist, könnte auf ein anderes Problem hindeuten.
Denn ungesicherte Schlüsselaushandlung ohne EC war de-facto bei TLS 1.2 schon verbreitet nicht mehr möglich, mit TLS 1.3 ist das komplett weggefallen.
Könnte es sein, dass ihr TLS < 1.2 oder gar SSLv3 anbietet? Das wäre zumindest ein legitimer Grund, den Handshake beim Verbindungsaufbau abzubrechen.

Ein anderes und wahrscheinlicheres Problem könnten auch zu kurze DH-Params sein. Da diese aufwendig zu generieren sind, sind die lange Zeit nur mit 512 bit erzeugt worden (was als sicher galt).
Mittlerweile erwartet man mindestens 2k große DH-Params. Bei zu kurzen DH-Params kommt keine Verbindung mit modernen Clients zustande.
Eventuell musst du diese auf der UTM neu erzeugen lassen resp. größere Längen aktivieren — mit Sophos kenne ich mich überhaupt nicht aus.

Du kannst euer System über https://internet.nl testen lassen, da wird speziell auch die Länge der DH-Params geprüft.
Xaero1982
Xaero1982 Aug 17, 2023 at 14:19:37 (UTC)
Goto Top
Hi @LordGurke,
danke für deine Infos und die Zeit. SSLv3 ist aus und es ist nur TLS 1.2 verfügbar.

Bei der UTM kann man leider nichts anpassen. Man kann nur was über die CLI anpassen, aber das ist bei der nächsten Änderung an der Gui wohl wieder weg und mit den alten Einstellungen überschrieben.

Bei der XGS wird zumindest auf der Seite die Cipher Order grün angezeigt, aber die Suite ist auch im Status Phase out.

Vielleicht hat hier jemand anderes noch eine SG UTM oder auch eine XGS als Mailgateway und kann das mal prüfen?!

Grüße und danke