Nginx-ru mailing list archive (nginx-ru@sysoev.ru)
[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
Re: ssl_prefer_server_ciphers
On 09/09/13 13:26, Gena Makhomed wrote:
потому что при ssl_prefer_server_ciphers off;
nginx подвержен влиянию BEAST-атаки CVE-2011-3389.
Без очень тщательного выбора того что и каком порядке указывать в ssl_ciphers
это делать смысла мало.
А что писать в ssl_ciphers вопрос не очень простой.
На первом месте логично поставить AES-GCM, но он пока не поддерживается
большинством браузеров. Да и на сервере для его нужен openssl 1.0.1 а во многих
дистрибутивах используются более старые версии.
Из того, что поддерживается широко:
AES-CBC - подвержен BEAST
RC4 в теории тоже уязвим: http://www.isg.rhul.ac.uk/tls/ (хотя сильно опасаться
этого пока не стоит).
И еще возможно бывают клиенты со старыми браузерами, которые не поддерживают ни
AES и RC4 (таких наверно мало).
_______________________________________________
nginx-ru mailing list
nginx-ru@xxxxxxxxx
http://mailman.nginx.org/mailman/listinfo/nginx-ru
| 
