Sie sind nicht angemeldet.

[gelöst] Openssl und ECDHE ciphers für PFS

Lieber Besucher, herzlich willkommen bei: GentooForum.de. Falls dies Ihr erster Besuch auf dieser Seite ist, lesen Sie sich bitte die Hilfe durch. Dort wird Ihnen die Bedienung dieser Seite näher erläutert. Darüber hinaus sollten Sie sich registrieren, um alle Funktionen dieser Seite nutzen zu können. Benutzen Sie das Registrierungsformular, um sich zu registrieren oder informieren Sie sich ausführlich über den Registrierungsvorgang. Falls Sie sich bereits zu einem früheren Zeitpunkt registriert haben, können Sie sich hier anmelden.

007sascha

Anfänger

  • »007sascha« ist männlich
  • »007sascha« ist der Autor dieses Themas

Beiträge: 24

  • Nachricht senden

1

10.02.2014, 17:49

Openssl und ECDHE ciphers für PFS

Hallo,
ich würde gerne auf meinem Server Perfect Forward Secrecy (PFS) aktivieren scheitere jedoch bereits daran dass openssl von gentoo wohl kein ECDHE kennt. Ein USE-Flag dazu habe ich auch nicht gefunden.
Ohne ECDHE in openssl wird es dann auch mit Apache und Postfix usw. unmöglich PFS zu integrieren.
openssl liefert bei mir nur:

Quellcode

 
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52

openssl ciphers -v
SRP-DSS-AES-256-CBC-SHA SSLv3 Kx=SRP  	Au=DSS  Enc=AES(256)  Mac=SHA1
SRP-RSA-AES-256-CBC-SHA SSLv3 Kx=SRP  	Au=RSA  Enc=AES(256)  Mac=SHA1
DHE-DSS-AES256-GCM-SHA384 TLSv1.2 Kx=DH   	Au=DSS  Enc=AESGCM(256) Mac=AEAD
DHE-RSA-AES256-GCM-SHA384 TLSv1.2 Kx=DH   	Au=RSA  Enc=AESGCM(256) Mac=AEAD
DHE-RSA-AES256-SHA256   TLSv1.2 Kx=DH   	Au=RSA  Enc=AES(256)  Mac=SHA256
DHE-DSS-AES256-SHA256   TLSv1.2 Kx=DH   	Au=DSS  Enc=AES(256)  Mac=SHA256
DHE-RSA-AES256-SHA  	SSLv3 Kx=DH   	Au=RSA  Enc=AES(256)  Mac=SHA1
DHE-DSS-AES256-SHA  	SSLv3 Kx=DH   	Au=DSS  Enc=AES(256)  Mac=SHA1
DHE-RSA-CAMELLIA256-SHA SSLv3 Kx=DH   	Au=RSA  Enc=Camellia(256) Mac=SHA1
DHE-DSS-CAMELLIA256-SHA SSLv3 Kx=DH   	Au=DSS  Enc=Camellia(256) Mac=SHA1
AES256-GCM-SHA384   	TLSv1.2 Kx=RSA  	Au=RSA  Enc=AESGCM(256) Mac=AEAD
AES256-SHA256       	TLSv1.2 Kx=RSA  	Au=RSA  Enc=AES(256)  Mac=SHA256
AES256-SHA          	SSLv3 Kx=RSA  	Au=RSA  Enc=AES(256)  Mac=SHA1
CAMELLIA256-SHA     	SSLv3 Kx=RSA  	Au=RSA  Enc=Camellia(256) Mac=SHA1
PSK-AES256-CBC-SHA  	SSLv3 Kx=PSK  	Au=PSK  Enc=AES(256)  Mac=SHA1
SRP-DSS-3DES-EDE-CBC-SHA SSLv3 Kx=SRP  	Au=DSS  Enc=3DES(168) Mac=SHA1
SRP-RSA-3DES-EDE-CBC-SHA SSLv3 Kx=SRP  	Au=RSA  Enc=3DES(168) Mac=SHA1
EDH-RSA-DES-CBC3-SHA	SSLv3 Kx=DH   	Au=RSA  Enc=3DES(168) Mac=SHA1
EDH-DSS-DES-CBC3-SHA	SSLv3 Kx=DH   	Au=DSS  Enc=3DES(168) Mac=SHA1
DES-CBC3-SHA        	SSLv3 Kx=RSA  	Au=RSA  Enc=3DES(168) Mac=SHA1
PSK-3DES-EDE-CBC-SHA	SSLv3 Kx=PSK  	Au=PSK  Enc=3DES(168) Mac=SHA1
SRP-DSS-AES-128-CBC-SHA SSLv3 Kx=SRP  	Au=DSS  Enc=AES(128)  Mac=SHA1
SRP-RSA-AES-128-CBC-SHA SSLv3 Kx=SRP  	Au=RSA  Enc=AES(128)  Mac=SHA1
DHE-DSS-AES128-GCM-SHA256 TLSv1.2 Kx=DH   	Au=DSS  Enc=AESGCM(128) Mac=AEAD
DHE-RSA-AES128-GCM-SHA256 TLSv1.2 Kx=DH   	Au=RSA  Enc=AESGCM(128) Mac=AEAD
DHE-RSA-AES128-SHA256   TLSv1.2 Kx=DH   	Au=RSA  Enc=AES(128)  Mac=SHA256
DHE-DSS-AES128-SHA256   TLSv1.2 Kx=DH   	Au=DSS  Enc=AES(128)  Mac=SHA256
DHE-RSA-AES128-SHA  	SSLv3 Kx=DH   	Au=RSA  Enc=AES(128)  Mac=SHA1
DHE-DSS-AES128-SHA  	SSLv3 Kx=DH   	Au=DSS  Enc=AES(128)  Mac=SHA1
DHE-RSA-SEED-SHA    	SSLv3 Kx=DH   	Au=RSA  Enc=SEED(128) Mac=SHA1
DHE-DSS-SEED-SHA    	SSLv3 Kx=DH   	Au=DSS  Enc=SEED(128) Mac=SHA1
DHE-RSA-CAMELLIA128-SHA SSLv3 Kx=DH   	Au=RSA  Enc=Camellia(128) Mac=SHA1
DHE-DSS-CAMELLIA128-SHA SSLv3 Kx=DH   	Au=DSS  Enc=Camellia(128) Mac=SHA1
AES128-GCM-SHA256   	TLSv1.2 Kx=RSA  	Au=RSA  Enc=AESGCM(128) Mac=AEAD
AES128-SHA256       	TLSv1.2 Kx=RSA  	Au=RSA  Enc=AES(128)  Mac=SHA256
AES128-SHA          	SSLv3 Kx=RSA  	Au=RSA  Enc=AES(128)  Mac=SHA1
SEED-SHA            	SSLv3 Kx=RSA  	Au=RSA  Enc=SEED(128) Mac=SHA1
CAMELLIA128-SHA     	SSLv3 Kx=RSA  	Au=RSA  Enc=Camellia(128) Mac=SHA1
IDEA-CBC-SHA        	SSLv3 Kx=RSA  	Au=RSA  Enc=IDEA(128) Mac=SHA1
PSK-AES128-CBC-SHA  	SSLv3 Kx=PSK  	Au=PSK  Enc=AES(128)  Mac=SHA1
RC4-SHA             	SSLv3 Kx=RSA  	Au=RSA  Enc=RC4(128)  Mac=SHA1
RC4-MD5             	SSLv3 Kx=RSA  	Au=RSA  Enc=RC4(128)  Mac=MD5 
PSK-RC4-SHA         	SSLv3 Kx=PSK  	Au=PSK  Enc=RC4(128)  Mac=SHA1
EDH-RSA-DES-CBC-SHA 	SSLv3 Kx=DH   	Au=RSA  Enc=DES(56)   Mac=SHA1
EDH-DSS-DES-CBC-SHA 	SSLv3 Kx=DH   	Au=DSS  Enc=DES(56)   Mac=SHA1
DES-CBC-SHA         	SSLv3 Kx=RSA  	Au=RSA  Enc=DES(56)   Mac=SHA1
EXP-EDH-RSA-DES-CBC-SHA SSLv3 Kx=DH(512)  Au=RSA  Enc=DES(40)   Mac=SHA1 export
EXP-EDH-DSS-DES-CBC-SHA SSLv3 Kx=DH(512)  Au=DSS  Enc=DES(40)   Mac=SHA1 export
EXP-DES-CBC-SHA     	SSLv3 Kx=RSA(512) Au=RSA  Enc=DES(40)   Mac=SHA1 export
EXP-RC2-CBC-MD5     	SSLv3 Kx=RSA(512) Au=RSA  Enc=RC2(40)   Mac=MD5  export
EXP-RC4-MD5         	SSLv3 Kx=RSA(512) Au=RSA  Enc=RC4(40)   Mac=MD5  export

Hat jemand einen Vorschlag zur Lösung des Problemes?
Gruß Sascha

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »007sascha« (20.02.2014, 12:26)

Foyaxe

Fortgeschrittener

  • »Foyaxe« ist männlich

Beiträge: 287

  • Nachricht senden

2

10.02.2014, 17:57

Das ist merkwürdig.
Ich kann dir nur sagen, dass du mindestens apache 2.4 brauchst. Da bin ich mal stundenlang dran gescheitert mit apache 2.2...
Hast du wirklich eine aktuelle Version von openssl installiert?
Hast du USE="-nsa" gesetzt?
Sorry, hab heut den Clown gefrühstückt…

dyle

Erleuchteter

  • »dyle« ist männlich

Beiträge: 4 869

  • Nachricht senden

3

11.02.2014, 10:02

Hier:

Quellcode

 
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43

$ eix -e openssl
[I] dev-libs/openssl
     Available versions:  
     (0.9.8) 0.9.8y
     (0)    1.0.0j *1.0.1e 1.0.1e-r1 (~)1.0.1e-r2 (~)1.0.1e-r3 1.0.1f
       {bindist gmp kerberos rfc3779 sse2 static-libs test +tls-heartbeat vanilla zlib}
     Installed versions:  1.0.1f(08:17:34 PM 01/07/2014)(sse2 tls-heartbeat zlib -bindist -gmp -kerberos -rfc3779 -static-libs -test -vanilla)
     Homepage:            http://www.openssl.org/
     Description:         full-strength general purpose cryptography library (including SSL and TLS)

$ openssl ciphers | tr ':' '\n' | grep ECDH
ECDHE-RSA-AES256-GCM-SHA384
ECDHE-ECDSA-AES256-GCM-SHA384
ECDHE-RSA-AES256-SHA384
ECDHE-ECDSA-AES256-SHA384
ECDHE-RSA-AES256-SHA
ECDHE-ECDSA-AES256-SHA
ECDH-RSA-AES256-GCM-SHA384
ECDH-ECDSA-AES256-GCM-SHA384
ECDH-RSA-AES256-SHA384
ECDH-ECDSA-AES256-SHA384
ECDH-RSA-AES256-SHA
ECDH-ECDSA-AES256-SHA
ECDHE-RSA-DES-CBC3-SHA
ECDHE-ECDSA-DES-CBC3-SHA
ECDH-RSA-DES-CBC3-SHA
ECDH-ECDSA-DES-CBC3-SHA
ECDHE-RSA-AES128-GCM-SHA256
ECDHE-ECDSA-AES128-GCM-SHA256
ECDHE-RSA-AES128-SHA256
ECDHE-ECDSA-AES128-SHA256
ECDHE-RSA-AES128-SHA
ECDHE-ECDSA-AES128-SHA
ECDH-RSA-AES128-GCM-SHA256
ECDH-ECDSA-AES128-GCM-SHA256
ECDH-RSA-AES128-SHA256
ECDH-ECDSA-AES128-SHA256
ECDH-RSA-AES128-SHA
ECDH-ECDSA-AES128-SHA
ECDHE-RSA-RC4-SHA
ECDHE-ECDSA-RC4-SHA
ECDH-RSA-RC4-SHA
ECDH-ECDSA-RC4-SHA


Kannst du damit was anfangen?
http://www.dyle.org
IM-Account (Jabber!) sind auf meiner HP ...
There is no place like /home

http://www.gentooforum.de
http://www.gentoofreunde.org

<div>how to annoy a web developer?</span>

007sascha

Anfänger

  • »007sascha« ist männlich
  • »007sascha« ist der Autor dieses Themas

Beiträge: 24

  • Nachricht senden

4

13.02.2014, 16:37

Vielen Dank bisher für die Tipps.
Ja es ist die aktuellste Version installiert.

Quellcode

 
1
2
3
4
5
6
7
8
9

$ eix -e openssl
[I] dev-libs/openssl
 	Available versions:  
 	(0.9.8) 0.9.8y
 	(0)	1.0.0j *1.0.1e 1.0.1e-r1 ~1.0.1e-r2 ~1.0.1e-r3 1.0.1f
   	{bindist gmp kerberos rfc3779 sse2 static-libs test +tls-heartbeat vanilla zlib}
 	Installed versions:  1.0.1f(16:19:04 13.02.2014)(bindist sse2 tls-heartbeat zlib -gmp -kerberos -rfc3779 -static-libs -test -vanilla)
 	Homepage:        	http://www.openssl.org/
 	Description:     	full-strength general purpose cryptography library (including SSL and TLS)

Zeigt abgesehen von bindist keinen Unterschied. Ich habe es auch mal mit bindist sowie allen anderen USE variablen getestet, jeweils ohne Erfolg.
Kann es an einem hardened Profil und Kernel liegen?

dyle

Erleuchteter

  • »dyle« ist männlich

Beiträge: 4 869

  • Nachricht senden

5

14.02.2014, 10:03

Zitat von »007sascha«

Kann es an einem hardened Profil und Kernel liegen?

Möglich. Dreh aber mal das bindist doch ab. Brauchst du prebuild Zeugs?
http://www.dyle.org
IM-Account (Jabber!) sind auf meiner HP ...
There is no place like /home

http://www.gentooforum.de
http://www.gentoofreunde.org

<div>how to annoy a web developer?</span>

007sascha

Anfänger

  • »007sascha« ist männlich
  • »007sascha« ist der Autor dieses Themas

Beiträge: 24

  • Nachricht senden

6

19.02.2014, 23:19

Wie gesagt, ich hatte es mit und auch ohne bindist probiert, kein Unterschied, leider.

josef.95

OSI Layer 8

Beiträge: 7 674

  • Nachricht senden

7

20.02.2014, 00:50

Zitat von »007sascha«

Wie gesagt, ich hatte es mit und auch ohne bindist probiert, kein Unterschied, leider.

Bist du dir da wirklich sicher?
Laut dem Crossposting ist dein openssl aktuell immernoch mit USE=bindist gebaut - so wird es sicher keine ECDHE Ciphers geben.

Prüfe das doch bitte noch mal nach, und poste bei Unsicherheit auch mal die Ausgabe von

Quellcode

 
1

emerge --info openssl

007sascha

Anfänger

  • »007sascha« ist männlich
  • »007sascha« ist der Autor dieses Themas

Beiträge: 24

  • Nachricht senden

8

20.02.2014, 12:25

Ok, habe den Fehler gefunden.
Ich hatte bindist global in der make.conf definiert, warum auch immer. Als ich dann bindist für openssl abgeschalten hatte wurde eine alte zusätzliche Version von openssl installiert da openssh ebenfalls mit bindist installiert wurde und auf die openssl verwiesen hat. Folglich hatte ich zwei openssl Versionen, eine alte ohne Unterstützung von ecdhe und eine neue mit bindist und somit ebenfalls ohne ecdhe.
Nach dem entfernen von bindist und neuinstalltion von openssh und openssl funktioniert alles wie gewünscht.
Danke nochmals.

Ähnliche Themen

Verwendete Tags

pfs, ssl

Häufig verwendete Suchbegriffe:

www.my-echo.de mobile-parts-discount.net Andere Architekturen Lob & Kritik Gentoo Linux bka trojaner finden Emerge Probleme softwaregarage.de Drucker Linux Computer und Notebooks