Ограничение протоколов SSL и наборов шифров

Как администратор ArcGIS Server вы можете указать, какие протоколы Transport Layer Security (TLS) и алгоритмы шифрования будет использовать ArcGIS Server для безопасной передачи данных. От вашей организации может потребоваться использование определенных протоколов TLS и алгоритмов шифрования, или веб-сервер, на котором развернут ArcGIS Server, может разрешать только определенные протоколы и алгоритмы. Возможность использования в ArcGIS Server сертифицированных протоколов и алгоритмов гарантирует, что ваш сайт будет соответствовать политике безопасности организации.

После того как в 2014 году была обнаружена уязвимость POODLE, ArcGIS Server прекратил поддержку протоколов Secure Sockets Layer (SSL) в версии 10.3 и более поздних версий, но SSL все еще используется в программном обеспечении для ссылки на протоколы TLS.

протоколы TLS

По умолчанию ArcGIS Server использует только протоколы TLSv1.3 и TLSv1.2. Вы также можете включить протоколы TLSv1 и TLSv1.1, выполнив перечисленные ниже действия.

Алгоритмы шифрования по умолчанию

На портале по умолчанию настроены следующие алгоритмы шифрования, в порядке, указанном ниже:

• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

• TLS_RSA_WITH_AES_256_GCM_SHA384

• TLS_RSA_WITH_AES_256_CBC_SHA256

• TLS_RSA_WITH_AES_256_CBC_SHA

• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

• TLS_RSA_WITH_AES_128_GCM_SHA256

• TLS_RSA_WITH_AES_128_CBC_SHA256

• TLS_RSA_WITH_AES_128_CBC_SHA

• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

• TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384

• TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA256

• TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA256

• TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

• TLS_AES_256_GCM_SHA384 (только TLSv1.3)

• TLS_AES_128_GCM_SHA256 (только TLSv1.3)

В целях безопасности, некоторые алгоритмы шифрования, которые были по умолчанию включены в предыдущих версиях, отключены. Их можно повторно включить, если это необходимо для старых клиентов. См. полный список поддерживаемых алгоритмов в Справочнике по наборам шифров ниже.

Используйте ArcGIS Server Administrator Directory, чтобы указать протоколы TLS и алгоритмы шифрования, которые будет использовать ваш сайт.

1. Откройте ArcGIS Server Administrator Directory и войдите в качестве администратора на ваш сайт.

   URL-адрес имеет формат https://gisserver.example.com:6443/arcgis/admin.

2. Щелкните Безопасность > Конфигурация > Обновить.

3. В текстовом поле Протоколы SSL укажите протоколы, которые будут использоваться. Если выбирается несколько протоколов, укажите их через запятую, например TLSv1.2, TLSv1.1.

   Примечание:

   Убедитесь, что веб-сервер, на котором размещен ваш Web Adaptor, полностью поддерживает протоколы, которые вы включаете.

4. В текстовом поле Наборы шифров укажите наборы, которые будут использоваться в формате IANA. Отделите каждый алгоритм запятой, например, TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_CBC_SHA.

5. Щелкните Обновить.

   Если указан недопустимый протокол или набор шифров, возвращается ошибка.

Справочник по наборам шифров

ArcGIS Server поддерживает следующие алгоритмы:

ID шифра	Имя (формат IANA)	Имя (формат OpenSSL)	Обмен ключами	Алгоритм аутентификации	Алгоритм шифрования	Биты	Алгоритм хеширования
0xC030	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384	ECDHE-RSA-AES256-GCM-SHA384	ECDH	RSA	AES_256_GCM	256	SHA384
0xC028	TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384	ECDHE-RSA-AES256-SHA384	ECDH	RSA	AES_256_CBC	256	SHA384
0xC014	TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA	ECDHE-RSA-AES256-SHA	ECDH	RSA	AES_256_CBC	256	SHA
0x009F	TLS_DHE_RSA_WITH_AES_256_GCM_SHA384	DHE-RSA-AES256-GCM-SHA384	DH	RSA	AES_256_GCM	256	SHA384
0x006B	TLS_DHE_RSA_WITH_AES_256_CBC_SHA256	DHE-RSA-AES256-SHA256	DH	RSA	AES_256_CBC	256	SHA256
0x0039	TLS_DHE_RSA_WITH_AES_256_CBC_SHA	DHE-RSA-AES256-SHA	DH	RSA	AES_256_CBC	256	SHA
0x009D	TLS_RSA_WITH_AES_256_GCM_SHA384	AES256-GCM-SHA384	RSA	RSA	AES_256_GCM	256	SHA384
0x003D	TLS_RSA_WITH_AES_256_CBC_SHA256	AES256-SHA256	RSA	RSA	AES_256_CBC	256	SHA256
0x0035	TLS_RSA_WITH_AES_256_CBC_SHA	AES256-SHA	RSA	RSA	AES_256_CBC	256	SHA
0xC02F	TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256	ECDHE-RSA-AES128-GCM-SHA256	ECDH	RSA	AES_128_GCM	128	SHA256
0xC027	TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256	ECDHE-RSA-AES128-SHA256	ECDH	RSA	AES_128_CBC	128	SHA256
0xC013	TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA	ECDHE-RSA-AES128-SHA	ECDH	RSA	AES_128_CBC	128	SHA
0x009E	TLS_DHE_RSA_WITH_AES_128_GCM_SHA256	DHE-RSA-AES128-GCM-SHA256	DH	RSA	AES_128_GCM	128	SHA256
0x0067	TLS_DHE_RSA_WITH_AES_128_CBC_SHA256	DHE-RSA-AES128-SHA256	DH	RSA	AES_128_CBC	128	SHA256
0x0033	TLS_DHE_RSA_WITH_AES_128_CBC_SHA	DHE-RSA-AES128-SHA	DH	RSA	AES_128_CBC	128	SHA
0x009C	TLS_RSA_WITH_AES_128_GCM_SHA256	AES128-GCM-SHA256	RSA	RSA	AES_128_GCM	128	SHA256
0x003C	TLS_RSA_WITH_AES_128_CBC_SHA256	AES128-SHA256	RSA	RSA	AES_128_CBC	128	SHA256
0x002F	TLS_RSA_WITH_AES_128_CBC_SHA	AES128-SHA	RSA	RSA	AES_128_CBC	128	SHA
0xC012	TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA	ECDHE-RSA-DES-CBC3-SHA	ECDH	RSA	3DES_EDE_CBC	168	SHA
0x0016	SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA	EDH-RSA-DES-CBC3-SHA	DH	RSA	3DES_EDE_CBC	168	SHA
0x000A	SSL_RSA_WITH_3DES_EDE_CBC_SHA	DES-CBC3-SHA	RSA	RSA	3DES_EDE_CBC	168	SHA
0xC02C	TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384	ECDHE-ECDSA-AES256-GCM-SHA384	ECDH	ECDSA	AES_256_GCM	256	SHA384
0xC024	TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384	ECDHE-ECDSA-AES256-SHA384	ECDH	ECDSA	AES_256_CBC	256	SHA384
0xC00A	TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA	ECDHE-ECDSA-AES256-SHA	ECDH	ECDSA	AES_256_CBC	256	SHA
0xC02B	TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256	ECDHE-ECDSA-AES128-GCM-SHA256	ECDH	ECDSA	AES_128_GCM	128	SHA256
0xC023	TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256	ECDHE-ECDSA-AES128-SHA256	ECDH	ECDSA	AES_128_CBC	128	SHA256
0xC009	TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA	ECDHE-ECDSA-AES128-SHA	ECDH	ECDSA	AES_128_CBC	128	SHA
0xC008	TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA	ECDHE-ECDSA-DES-CBC3-SHA	ECDH	ECDSA	3DES_EDE_CBC	168	SHA
0xCCA8	TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256	ECDHE-RSA-CHACHA20-POLY1305	ECDH	RSA	CHACHA20 POLY1305	256	SHA256
0xCCA9	TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256	ECDHE-ECDSA-CHACHA20-POLY1305	ECDH	ECDSA	CHACHA20 POLY1305	256	SHA256
0x1301	TLS_AES_128_GCM_SHA256 (TLSv1.3 only)	TLS_AES_128_GCM_SHA256	-	-	AES_128_GCM	128	SHA256
0x1302	TLS_AES_256_GCM_SHA384 (TLSv1.3 only)	TLS_AES_256_GCM_SHA384	-	-	AES_256_GCM	256	SHA384
0x1303	TLS_CHACHA20_POLY1305_SHA256 (TLSv1.3 only)	TLS_CHACHA20_POLY1305_SHA256	-	-	CHACHA20 POLY1305	256	SHA256

Терминология

В приведенной выше таблице используются следующие термины:

• ECDH –Elliptic-Curve Diffie-Hellman

• DH – Diffie-Hellman

• RSA – Rivest, Shamir, Adleman

• ECDSA – алгоритм подписи Elliptic Curve Digital

• AES – Advanced Encryption Standard

• GCM – Galois/Counter Mode, – режим работы с блоками шифртекста

• CBC – Cipher Block Chaining

• 3DES – Triple Data Encryption Algorithm

• SHA – Secure Hashing Algorithm

• CHACHA20 — поточный шифр ChaCha

• POLY1305 — аутентификатор Poly1305