Уязвимость SSL в Tivoli Monitoring Agent

Я исправляю некоторые отклонения на сервере Windows 2008, и в результатах сканирования в порту 7756 появилась уязвимость SSL Enabled Server Supports SSL Encryption Certificates/Ciphers средней надежности. На этом порту запущено приложение kntcma (агент Tivoli Monitoring). Я попытался исправить это, перейдя в TEMS->Дополнительно->Редактировать переменные и добавив следующие строки:

GSK_PROTOCOL_SSLV2=OFF
GSK_PROTOCOL_SSLV3=ON
GSK_V3_CIPHER_SPECS="350A"

Затем я перезапустил агент и подумал, что этого будет достаточно для устранения уязвимости, но этого не произошло. Отклонение продолжает появляться, и я не знаю, что еще сделать, чтобы исправить это.


windows ssl tivoli
person user3105533    schedule 06.05.2017    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Вы можете использовать сертификаты... вот несколько шагов для воссоздания сертификатов безопасности:

а) Установить свойства:

C:\IBM\ITM\InstallITM\GetGSKitHome.bat -› добавить вывод в начало PATH

пример:

set PATH=C:\IBM\ITM\GSK7;C:\IBM\ITM\GSK7\lib;C:\IBM\ITM\GSK7\bin;%PATH%

C:\IBM\ITM\InstallITM\GetJavaHome.bat -› установить вывод этой команды как JAVA_HOME

пример:

set JAVA_HOME=C:\IBM\ITM\java\java50\jre

б) Удалить и заново создать сертификаты

на 32-битных серверах, где доступна только утилита gsk7capicmd:

set PATH=C:\IBM\ITM\GSK7;C:\IBM\ITM\GSK7\lib;C:\IBM\ITM\GSK7\bin;%PATH%

gsk7capicmd.exe -cert -delete -db C:\IBM\ITM\keyfiles\keyfile.kdb -pw IBM61TIV -label "IBM_Tivoli_Monitoring_Certificate"

на 32-битных серверах, где доступна утилита gsk8capicmd:

set PATH=C:\IBM\ITM\GSK8;C:\IBM\ITM\GSK8\lib;C:\IBM\ITM\GSK8\bin;%PATH%

gsk8capicmd.exe -cert -delete -db C:\IBM\ITM\keyfiles\keyfile.kdb -pw IBM61TIV -label "IBM_Tivoli_Monitoring_Certificate"

на 64-битных серверах, где доступен только gsk7capicmd_64:

set PATH=C:\IBM\ITM\GSK7_x64;C:\IBM\ITM\GSK7_x64\lib64;C:\IBM\ITM\GSK7_x64\bin;%PATH%

gsk7capicmd_64.exe -cert -delete -db C:\IBM\ITM\keyfiles\keyfile.kdb -pw IBM61TIV -label "IBM_Tivoli_Monitoring_Certificate"

на 64-битных серверах, где доступен gsk8capicmd_64:

set PATH=C:\IBM\ITM\GSK8_x64;C:\IBM\ITM\GSK8_x64\lib64;C:\IBM\ITM\GSK8_x64\bin;%PATH%

gsk8capicmd_64.exe -cert -delete -db C:\IBM\ITM\keyfiles\keyfile.kdb -pw IBM61TIV -label "IBM_Tivoli_Monitoring_Certificate"

в) создать новый сертификат

на 32-битных серверах, где доступна только утилита gsk7capicmd:

set PATH=C:\IBM\ITM\GSK7;C:\IBM\ITM\GSK7\lib;C:\IBM\ITM\GSK7\bin;%PATH%

gsk7capicmd.exe -cert -create -db C:\IBM\ITM\keyfiles\keyfile.kdb -pw IBM61TIV -size 4096 -dn "CN=IBM Tivoli Monitoring Self-Signed Certificate,O=IBM Tivoli,C=US" -label "IBM_Tivoli_Monitoring_Certificate" -default_cert yes -expire 3652 -sigalg sha1

на 32-битных серверах, где доступна утилита gsk8capicmd:

set PATH=C:\IBM\ITM\GSK8;C:\IBM\ITM\GSK8\lib;C:\IBM\ITM\GSK8\bin;%PATH%

gsk8capicmd.exe -cert -create -db C:\IBM\ITM\keyfiles\keyfile.kdb -pw IBM61TIV -size 4096 -dn "CN=IBM Tivoli Monitoring Self-Signed Certificate,O=IBM Tivoli,C=US" -label "IBM_Tivoli_Monitoring_Certificate" -default_cert yes -expire 3652 -sigalg sha1

на 64-битных серверах, где доступна утилита gsk7capicmd_64:

set PATH=C:\IBM\ITM\GSK7_x64;C:\IBM\ITM\GSK7_x64\lib64;C:\IBM\ITM\GSK7_x64\bin;%PATH%

gsk7capicmd_64.exe -cert -create -db C:\IBM\ITM\keyfiles\keyfile.kdb -pw IBM61TIV -size 4096 -dn "CN=IBM Tivoli Monitoring Self-Signed Certificate,O=IBM Tivoli,C=US" -label "IBM_Tivoli_Monitoring_Certificate" -default_cert yes -expire 3652 -sigalg sha1

на 64-битных серверах, где доступна утилита gsk8capicmd_64:

set PATH=C:\IBM\ITM\GSK8_x64;C:\IBM\ITM\GSK8_x64\lib64;C:\IBM\ITM\GSK8_x64\bin;%PATH%

gsk8capicmd_64.exe -cert -create -db C:\IBM\ITM\keyfiles\keyfile.kdb -pw IBM61TIV -size 4096 -dn "CN=IBM Tivoli Monitoring Self-Signed Certificate,O=IBM Tivoli,C=US" -label "IBM_Tivoli_Monitoring_Certificate" -default_cert yes -expire 3652 -sigalg sha1

Дополнительную информацию можно найти по адресу ссылка.

person silveiralexf    schedule 10.05.2018
comment
Забыл упомянуть, что было бы неплохо пропатчить SSLv3 для защиты от уязвимости POODLE, как описано в перейти по ссылке - person silveiralexf; 14.06.2018