SSL安全漏洞解决方案

---

前言

上周公司对公网系统进行了安全检查，扫描出了SSL相关漏洞，主要有SSL/TLS协议信息泄露漏洞(CVE-2016-2183)、SSL/TLS 受诫礼(BAR-MITZVAH)攻击漏洞(CVE-2015-2808)、SSL/TLS RC4 信息泄露漏洞(CVE-2013-2566)。由于是Windows机器，绿盟科技报告给出的解决方案链接无效，本文给出实际的解决办法。

---

一、 SSL/TLS协议信息泄露漏洞(CVE-2016-2183)

1.详细描述

TLS是安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。

TLS, SSH, IPSec协商及其他产品中使用的DES及Triple DES密码存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。

来源：Karthik Bhargavan Gaetan Leurent
链接：https://www.openssl.org/news/secadv/20160922.txt

2.解决办法

官方报告版：
1、OpenSSL Security Advisory [22 Sep 2016]
链接：https://www.openssl.org/news/secadv/20160922.txt
请在下列网页下载最新版本：
https://www.openssl.org/source/
2、对于nginx、apache、lighttpd等服务器禁止使用DES加密算法
主要是修改conf文件
3、Windows系统可以参考如下链接：
https://social.technet.microsoft.com/Forums/en-US/31b3ba6f-d0e6-417a-b6f1-d0103f054f8d/ssl-medium-strength-cipher-suites-supported-sweet32cve20162183?forum=ws2016
当查看链接时里面没有真正解决方案

真正典藏版：
Windows server 2012R2远程桌面服务SSL加密默认是开启的，且有默认的CA证书。由于SSL/ TLS自身存在漏洞缺陷，当开启远程桌面服务，使用漏洞扫描工具扫描，发现存在SSL/TSL漏洞。
远程主机支持的SSL加密算法提供了中等强度的加密算法，目前，使用密钥长度大于等于56bits并且小于112bits的算法都被认为是中等强度的加密算法。
1、 登录服务器，windows+R:运行gpedit.msc，打开“本地组策略编辑器”

2、 打开“本地组策略编辑器”-“计算机配置”-“管理模板”-“网络”-