Conjuntos de cifrado para proxy SSL

Conjuntos de cifrado compatibles

El proxy SSL actúa como intermediario, realizando el cifrado y el descifrado SSL entre el cliente y el servidor, pero ni el servidor ni el cliente pueden detectar su presencia. SSL depende de certificados digitales y pares de intercambio de claves públicas y privadas para la autenticación de cliente y servidor para garantizar una comunicación segura.

Familiaricemos con todos los términos que vamos a hacer referencia en esta sección.

• Digital Certificate or CA Certificate — Un certificado digital es un medio electrónico para verificar su identidad a través de un tercero de confianza, conocido como autoridad de certificación (CA). Alternativamente, puede usar un certificado autofirmado para dar fe de su identidad. Cada certificado contiene una clave criptográfica para cifrar el texto sin formato o descifrar el texto cifrado.

• Certificate Contents— Un certificado digital asocia una clave pública con la identidad de una entidad individual a la que está emitiendo el certificado digital. Un certificado digital incluye los siguientes atributos de identificación:

  • Identificación y firma de la autoridad de certificación que emitió el certificado.

  • Período de validez

  • Número de serie

  • Detalles del emisor del certificado

  • La información sobre el tema incluye información de identificación (el nombre distinguido) y la clave pública.

• Cipher Suite— Un conjunto de cifrado es un conjunto de algoritmos criptográficos. Un cifrado SSL consta de cifrado, un método de autenticación y compresión. En el dispositivo serie SRX, las sesiones SSL usan un método de intercambio de claves mediante el cual se intercambian claves criptográficas entre el cliente y los servidores mediante el uso de algoritmo criptográfico. El tipo de algoritmo de intercambio de claves y los conjuntos de cifrado utilizados deben ser compatibles con ambos lados.

  Las sesiones SSL usan los algoritmos de un conjunto de cifrado para:

  • Establezca de forma segura una clave secreta entre dos partes que se comunican

  • Proteger la confidencialidad de los datos en tránsito

En la tabla 1 se proporcionan los detalles de las claves RSA compatibles con varios dispositivos de la serie SRX.

• A partir de Junos OS versión 15.1X49-D30 y Junos OS versión 17.3R1, se admiten certificados de servidor de tamaño de clave de 4096 bits. Antes de Junos OS versión 15.1X49-D30, no se admitían certificados de servidor con un tamaño de clave mayor que 2048 bits debido a limitaciones de hardware de criptografía.

• A partir de junos OS versión 18.1R1, la compatibilidad con proxy SSL está disponible en dispositivos SRX300 y SRX320. En dispositivos SRX300 y SRX320, no se admiten certificados de servidor con un tamaño de clave de 4096 bits.

La tabla 2 muestra una lista de cifrados compatibles. Se excluyen los cifrados NULL.

A partir de Junos OS versión 21.2R1, en dispositivos de la serie SRX, el proxy SSL es compatible con TLS versión 1.3 y ofrece una seguridad y un mejor rendimiento. La tabla 3 muestra una lista de cifrados compatibles TLS 1.3.

A partir de Junos OS versión 18.4R1, la compatibilidad con algunos cifrados en cifrados personalizados está en desuso. En la tabla 4 se muestra la lista de los cifrados en desuso.

Tenga en cuenta lo siguiente:

• Los cifrados SSL compatibles para la autenticación de firewall HTTPS son RSA-3DES-EDE-CBC-SHA, RSA-AES-128-CBC-SHA y RSA-AES-256-CBC-SHA.

• Los conjuntos de cifrado que tienen "exportación" en el título están diseñados para su uso fuera de los Estados Unidos y pueden tener algoritmos de cifrado con tamaños de clave limitados. Los cifrados de exportación no están habilitados de forma predeterminada. Debe configurar los cifrados de exportación para habilitar o instalar un paquete nacional.

• Los trajes de cifrado basados en ECDHE admiten la función de confidencialidad directa perfecta en el proxy SSL.

  El confidencialidad directa perfecta es un protocolo de acuerdo clave específico que garantiza que todas las transacciones enviadas a través de Internet sean seguras. La confidencialidad directa perfecta genera una clave de sesión única para cada sesión iniciada por el usuario. Esto garantiza que el compromiso de una sola clave de sesión no tenga ningún impacto en los datos más que los intercambiados en la sesión específica protegida por esa clave en particular.

Configuración de conjuntos de cifrado para proxy SSL

Puede usar las siguientes opciones en la configuración del perfil de proxy SSL para establecer conjuntos de cifrado:

• Cifrados preferidos: los cifrados preferidos le permiten definir un cifrado SSL con una fuerza de clave aceptable: fuerte, medio o débil.

  Si no desea usar una de las tres categorías, puede seleccionar cifrados de cada una de las categorías para formar un conjunto de cifrado personalizado. Los cifrados personalizados le permiten definir su propia lista de cifrado. Para configurar cifrados personalizados, debe establecer cifrados preferidos en personalizados. Ejemplo:

• Cifrados personalizados: los cifrados personalizados le permiten definir su propia lista de cifrado. Ejemplo:

  A partir de Junos OS versión 21.2R1, también puede usar los siguientes cifrados personalizados:

Utilice los siguientes pasos para configurar un proxy SSL con cifrados personalizados:

• Genere un certificado de CA raíz o puede importar su propio certificado de CA de confianza y claves privadas y públicas en el dispositivo.

• Cree un perfil de proxy SSL y asocie un certificado de CA raíz (CA raíz o certificado de servidor).

• Habilite el cifrado preferido en el proxy SSL como cifrado personalizado y adjunte un cifrado personalizado

Ejemplo:

En este ejemplo, se muestra cómo crear un cifrado personalizado. En este ejemplo, se establece preferred-cipher como personalizado y se agrega la lista de cifrado (ecdhe-ecdsa-with-aes-256-cbc-sha384 y ecdhe-ecdsa-with-aes-128-cbc-sha256):

O

Continúe con la configuración del perfil de proxy SSL y la aplicación del perfil de proxy SSL a una política de seguridad

Soporte del conjunto de cifrado ECDSA para proxy SSL

A partir de Junos OS versión 18.3R1, los dispositivos serie SRX admiten conjuntos de cifrado ECDSA para proxy SSL. ECDSA es una versión del algoritmo de firma digital (DSA) y se basa en la criptografía de curva elíptica (ECC). Para usar cifrados ECDSA en su dispositivo de seguridad, debe asegurarse de lo siguiente:

• Incluya los certificados que contienen claves públicas compatibles con ECC en el dispositivo. La compatibilidad está disponible para el certificado de criptografía de curva elíptica (ECC) solo con la curva principal elíptica de 256 bits (P-256).

• Incluya la opción de certificado ECDSA para la CA raíz. Puede incluir un certificado RSA y un certificado ECDSA cada uno. Tener certificados ECC y RSA le permite realizar un intercambio de claves basado en ECC o un intercambio de claves basado en RSA, dependiendo de la compatibilidad del cliente y del dispositivo servidor.

• En el caso del proxy inverso, incluya el certificado ECDSA para el certificado de servidor. No hay restricción en la cantidad de inclusión de certificados ECDSA o RSA.

• Un certificado de CA de confianza puede ser un certificado basado en RSA y un certificado basado en ECDSA. Todas las funciones compatibles con un certificado basado en RSA, como la caché de certificados, la lista de revocación de certificados (CRL), la cadena de certificados se admiten en un certificado ECDSA.

Configuración de certificados de servidor de tamaño de clave de 4096 bits en SRX300 y SRX320

A partir de Junos OS versión 19.4R1, los dispositivos SRX300 y SRX320 admiten certificados RSA con un tamaño de clave de 4096 bits. Esta compatibilidad solo está disponible cuando los dispositivos SRX300 y SRX320 funcionan en modo independiente.

Debe configurar explícitamente el perfil de proxy SSL en dispositivos SRX300 y SRX320 para usar el certificado de servidor con un tamaño de clave de 4096 bits. Ejemplo:

Perfil de proxy de reenvío SSL

Perfil de proxy inverso SSL