SSLCipherSuiteの設定について

Question

https://www.ssllabs.com/ssltest/analyze.html

こちらのサイトで、WEAKとなっていたchipher suiteを /etc/httpd/conf.d/ssl.conf (apacheの設定ファイル)にて、
SSLCipherSuite #{既存のsuite設定}:!#{weakのsuite名}
として記述して、再度上記のURLにアクセスしてテストしてみたのですが、まだ該当のsuite名がweakと出たままでした。

WEAKを消すには何か別に設定が必要でしょうか？
ご教授頂ければと思います。
よろしくお願いいたします。

Comments

[yasutakatou]

環境書かれていないですが、たぶんapacheですよね？
weakを消す目的なら、該当cipher名の無効化って検索ワードでググってみた方が有効な手段が見つかりやすいですけど、その流れで対応してみてはいかがでしょうか？

[nao20]

すみません、記述不足でした！
はい、apacheです。
ありがとうございます！　cipher名の無効化で調べてみようと思います。

[yasutakatou]

いえいえ。目的のcipherで絞って設定してみて、そのうえで無効化できないようであれば追記お願いします！もし解決したなら、その内容で。
お手数ですがご対応頂けますでしょうか。

[nao20]

ありがとうございます！

SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA385

で、/etc/httpd/conf.d/ssl.confを設定してみたのですが、例えば、
TLS_RSA_WITH_AES_128_CBC_SHA (0x2f) WEAK
という形で、設定外のものがWEAKとして出ておりました...

cipher disable等で調べたりしてみたのですが、やはりSSLCipherSuiteでcipherを絞ると良さそうなのですが、絞ってもまだWEAKがでており、まだ解決出来ずでした...
もし何か知見ありましたら、ご教授頂ければと思います。

[yasutakatou]

SSLCipherSuiteに明示的に無効化する!#{weakのsuite名}を書いてみてはどうでしょうか？
https://qiita.com/sion_cojp/items/99fee211ceace3f76cff

[nao20]

https://testssl.sh/openssl-iana.mapping.html
こちらを見て、TLS_RSA_WITH_AES_128_CBC_SHAのname(openssl)が、AES128-SHAだったので、下記のように確認してみました。

$ openssl ciphers -v "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA385:!AES128-SHA"
-bash: !AES128-SHA": event not found

やはり、AES128-SHAは制限して取らないようにしているので、Errorとなっているようでした。

SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA385
こちらの設定では、本来`TLS_RSA_WITH_AES_128_CBC_SHA `のweakは出ないはずなのに、出ているのはやはり何かしら別の設定が読み込まれてしまっている可能性があるかと思い見ていたのですが、grepしても該当する箇所が他に見つからず...

# grep -r "SSLCipherSuite" /etc/
/etc/httpd/conf.d/ssl.conf:SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA385

[yasutakatou]

https://qiita.com/papillon/items/f56a6f278609270a392c
こちらにあるように -AES128 の指定ではどうでしょうか。またtomcatとかミドルウェアを挟んでいると
そちらのSSL設定に影響されてしまうようですのでその点もご確認頂ければと思います。