Windows Server 2008 R2 - 基于 SHA2 的密码套件

Question 1

您在密码套件列表中看到的 SHA256 参考不适用于证书。相反，它们与 TLS 伪随机函数和消息完整性有关。

证书支持独立于 TLS 密码套件。

如果操作系统支持 SHA256 证书，则所有版本的 Firefox 和 Chrome（以及最新版本的 IE）都支持 SHA256 证书，对于客户端 Windows 而言，操作系统为 XP SP3 及更高版本。Server 2008 R2 完全支持 SHA256 证书。

Answer

您在密码套件列表中看到的 SHA256 参考不适用于证书。相反，它们与 TLS 伪随机函数和消息完整性有关。

证书支持独立于 TLS 密码套件。

如果操作系统支持 SHA256 证书，则所有版本的 Firefox 和 Chrome（以及最新版本的 IE）都支持 SHA256 证书，对于客户端 Windows 而言，操作系统为 XP SP3 及更高版本。Server 2008 R2 完全支持 SHA256 证书。

Question 2

您不会希望将 SHA256 MAC 算法的优先级置于密码套件的其他部分之上。它是最不重要的部分。您目前在 IIS 7.5 服务器上的优先级列表中应排在首位的密码套件是：

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521

要寻找的关键部分是；

密钥交换密码（ECDHE 最好，椭圆曲线速度快，Ephemeral Diffie-Hellman 前向保密性好）
RSA 作为证书签名算法——正如您所发现的，较新的 ECDSA 证书与较旧的客户端存在兼容性问题
对称密码。AES GCM 128 位是最好的，但目前您无法在 Windows 中同时拥有它和 ECDHE/RSA。其次是 AES CBC（128 位或 256 位）。

您应该使用 IIS Crypto（https://www.nartac.com/Products/IISCrypto/) 并选择最佳实践选项。这将为您提供目前在 IIS 中可以实现的最佳密码套件排序。

另请参阅我对这个问题的回答：

更改 IIS 8 中的密钥交换机制

应用 IIS Crypto 最佳实践后，Windows Server 2008 R2 启用了密码：

应用 IIS Crypto 最佳实践后，Windows Server 2008 R2 启用了密码

为了获取服务器端列表，我通常使用此处“列出支持的密码套件”下提供的代码的编译版本；

https://msdn.microsoft.com/en-us/library/windows/desktop/bb870930(v=vs.85).aspx

如果您想使用，我已经将我编译的版本上传到 Dropbox（风险自负，我不承担任何责任。但它是安全的！）

https://www.dropbox.com/s/mvajmebtyilgics/listciphers.exe?dl=0

Answer

您不会希望将 SHA256 MAC 算法的优先级置于密码套件的其他部分之上。它是最不重要的部分。您目前在 IIS 7.5 服务器上的优先级列表中应排在首位的密码套件是：

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521

要寻找的关键部分是；

密钥交换密码（ECDHE 最好，椭圆曲线速度快，Ephemeral Diffie-Hellman 前向保密性好）
RSA 作为证书签名算法——正如您所发现的，较新的 ECDSA 证书与较旧的客户端存在兼容性问题
对称密码。AES GCM 128 位是最好的，但目前您无法在 Windows 中同时拥有它和 ECDHE/RSA。其次是 AES CBC（128 位或 256 位）。

您应该使用 IIS Crypto（https://www.nartac.com/Products/IISCrypto/) 并选择最佳实践选项。这将为您提供目前在 IIS 中可以实现的最佳密码套件排序。

另请参阅我对这个问题的回答：

更改 IIS 8 中的密钥交换机制

应用 IIS Crypto 最佳实践后，Windows Server 2008 R2 启用了密码：

应用 IIS Crypto 最佳实践后，Windows Server 2008 R2 启用了密码

为了获取服务器端列表，我通常使用此处“列出支持的密码套件”下提供的代码的编译版本；

https://msdn.microsoft.com/en-us/library/windows/desktop/bb870930(v=vs.85).aspx

如果您想使用，我已经将我编译的版本上传到 Dropbox（风险自负，我不承担任何责任。但它是安全的！）

https://www.dropbox.com/s/mvajmebtyilgics/listciphers.exe?dl=0

Question 3

“Richie Frame” 的回答非常正确。密码套件字符串指的不是签名中的 SHA256。但除了 Richie 的回答之外，这里还有一个额外的小知识：

但是为了支持这个套件，我必须重新颁发我们的证书，将密钥交换机制从使用“RSA”更改为“ECDSA”（椭圆曲线数字签名算法）。

你不能这样做。会话密钥交换机制是不是在证书本身内部进行编码。

您混淆了密钥交换算法和签名算法。造成混淆的原因是 RSA 既可以进行密钥交换，又可以进行签名。

大致可以分解如下：

对于旧的典型安装，您将拥有一个 RSA 签名的证书，并且您也可以通过 RSA 进行会话密钥交换。
对于较新类型的安装，您将拥有一个 RSA 签名证书，并进行 Diffie-Hellman 会话密钥交换。然后使用证书的 RSA 密钥验证该匿名密钥交换。
对于当今最先进的安装类型，您将拥有一个 ECDSA 签名的证书，并进行椭圆曲线 Diffie-Hellman (ECDH) 会话密钥交换。然后使用证书的 ECDSA 密钥验证该匿名密钥交换。

更新 2015-04-29：使用 sha256rsa 证书

因此，我有兴趣找到使用 RSA 签名证书的解决方案 - 但这似乎是不可能的。我对此的看法正确吗？

不。幸好你错了。你可以在同一个证书中使用两者。SHA256 作为单向哈希函数，RSA 作为签名算法。（这个特定的组合代号为“sha256WithRSAEncryption”。但还有很多其他的。）（请查看https://www.ietf.org/。他们现在就使用这个确切的组合。）

为了兼容性，我建议您阅读 Ivan Ristić 的博客。

伊凡·里斯蒂克，SHA1 弃用：你需要知道什么（存档这里。

该博客中的一个链接是 GlobalSign SHA-256 兼容性表。您可能对此特别感兴趣。

更新 2015-04-29：你想要一些带有“RSA_WITH”的东西
如果您有 RSA 证书，则您正在使用 RSA 加密。密码套件描述符字符串中的加密位是“和“。

因此，在您的情况下，您需要中间带有“RSA_WITH”的东西。我从您上面制作的 Firefox 列表中获取了这些：

TLSCipherSuites: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 { 0xC0,0x2F }
TLSCipherSuites: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA { 0xC0,0x13 }
TLSCipherSuites: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA { 0xC0,0x14 }
TLSCipherSuites: TLS_DHE_RSA_WITH_AES_128_CBC_SHA { 0x00, 0x33 }
TLSCipherSuites: TLS_DHE_RSA_WITH_AES_256_CBC_SHA { 0x00, 0x39 }
TLSCipherSuites: TLS_RSA_WITH_AES_128_CBC_SHA { 0x00, 0x2F }

不用担心每个字符串末尾的“SHA”或“SHA256”。这确实不是请参阅证书中的内容。它指的是相同的算法，但不是指证书内部的应用。

Answer