Hướng dẫn khắc phục cảnh báo obsolete cryptography trên Windows Server 2008 R2
Lưu ý:
- Microsoft chỉ hỗ trợ TLS 1.1 và TLS 1.2 kể từ phiên bản Windows Server 2008 R2.
- Tại thời điểm ra mắt bài viết này (tháng 07/2015), nếu máy chủ của bạn đang chạy Windows Server 2008 trở về trước, bạn không thể khắc phục lỗi này.
Trong một số trường hợp, khi truy cập website bằng trình duyệt Google Chrome bạn sẽ gặp cảnh báo "You connection to ten-mien.com is encrypted with obsolete cryptography".
Nếu bạn đang dùng máy chủ Windows Server 2008 R2/IIS7.5, bạn cần tham khảo hướng dẫn sau đây để cập nhật cho máy chủ của mình.
Bước 1: Chạy Windows Update cho máy chủ
Bạn cần phải chạy Windows Update và cập nhật các bản vá lỗi quan trọng cho máy chủ.
Bước 2: Cập nhật bản nâng cấp KB3011780
Bạn có thể tải bản nâng cấp tại đây.
Bước 3: Cập nhật bản nâng cấp KB2992611
Bạn có thể tải bản nâng cấp tại đây.
Lưu ý:
- Bạn cần phải cài đặt bản nâng cấp KB3011780 trước khi cài đặt bản nâng cấp KB2992611 (tham khảo thông tin trong mục "Install instructions" từ liên kết trên)
- Bạn không nên cài đặt bản vá KB2992611 nếu máy chủ đang chạy Microsoft SQL Server (tham khảo tại đây)
Bản vá này sẽ bổ sung hỗ trợ các cipher suites sau đây:
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_128_GCM_SHA256
Bước 4: Tải công cụ IISCrypto
Bạn có thể tải công cụ IISCrypto tại đây.
Bước 5: Cấu hình lại máy chủ bằng công cụ IISCrypto
- Mở chương trình IISCrypto
- Nhấn nút "Best Practices"
- Trong khung "SSL Cipher Suite Order", tìm, kích hoạt và di chuyển các cipher suites sau đây lên trên đầu danh sách (theo đúng thứ tự):
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_128_GCM_SHA256
- Cấu hình các mục khác theo như trong hình bên dưới và nhấn nút "Apply".
- Khởi động lại máy chủ
Bước 6: Kiểm tra lại kết nối đến máy chủ
Mở trình duyệt Chrome, truy cập vào địa chỉ website và nhấn Ctrl-F5, nếu Chrome hiển thị kết nối dùng TLS 1.2 và cipher "AES_128_GCM" thì lỗi "obsolete cryptography" sẽ trở thành "modern cryptography".
Tại sao không thể hỗ trợ AES_256_GCM mà chỉ là AES_128_GCM?
Google Chrome không hỗ trợ TLS_DHE_RSA_WITH_AES_256_GCM_SHA384, do đó cipher suite kế tiếp theo là TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 sẽ được chọn.
Qualys SSL Labs hạ hạng từ A xuống B?
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 dùng cơ chế trao đổi khóa Diffie Hellman1024-bit (1024-bit Diffie Hellman key exchange) được đánh giá là kém an toàn.
TLS_RSA_WITH_AES_256_GCM_SHA384 và TLS_RSA_WITH_AES_128_GCM_SHA256 được ưu tiên so với TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,... sẽ khiến server của bạn không hỗ trợ Forward Secrecy cho trình duyệt.
Lựa chọn là của bạn!
* Qualys hạng A:
- Vô hiệu hóa TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 và TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
- Đưa TLS_RSA_WITH_AES_256_GCM_SHA384 và TLS_RSA_WITH_AES_128_GCM_SHA256 ra phía sau các cipher TLS_ECDHE_RSA
* Google Chrome đánh giá "modern cryptography":
- Kích hoạt và đưa các cipher suites sau đây lên đầu tiên: TLS_DHE_RSA_WITH_AES_256_GCM_SHA384, TLS_DHE_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_GCM_SHA256
