SSL Report: "Cipher Strength" Wert verbessern

[Ice-Tee]

Hallo zusammen,

eine Frage an die Security-Truppe.
Ich habe Gestern unser iNotes auf SSL umgestellt und alles läuft sehr gut.

Unter dem folgenden Link kann ein Test durchgeführt werden, ob auch wirklich alles im grünen Bereich ist: https://www.ssllabs.com/ssltest/index.html

Als Referenz habe ich mir mal einen Domino gesucht, der ein A Ergebnis hat und damit auch den Test voll bestanden hat: https://www.ssllabs.com/ssltest/analyze.html?d=inotes.amnesty.org

Nun fehlt mir nur noch eine letzte Einstellung, da unser Domino derzeit nur ein B Ergebnis bekommt (wenn auch kein schlechtes).
Es geht um den Wert "Cipher Strength". Hier haben wir einen Wert von 60. inotes.amnesty.org hat dort 80 erreicht. Wie kann ich die Stärke noch mal erhöhen, damit ich ebenfalls einen Wert von 80 und damit auch ein A Ergebnis bekomme?



Durch das setzten der beiden ersten Häkchen (fehlt in der Standardkonfikuration) ist der Wert um 10 Punkte von 50 auf 60 gestiegen. Es fehlen aber noch 20.

[umi]

Wie ändert der Wert wenn Du die beiden letzten
DES und RC4 rausnimmst?

[Ice-Tee]

Ja sehr gut - das Ergebnis kann sich sehen lassen - ein grünes A
Danke für den Tipp!

[Ice-Tee]

Noch ein Hinweis.
Falls jemand versucht sein Domino zu testen und bekommt unter "Protocol Support" eine null angezeigt, muss in der notes.ini folgender Wert hinzugefügt werden und der http task neu gestartet werden:

SSL_DISABLE_RENEGOTIATE=1

[shiraz]

Hallo Ice-Tee,

welchen Wert erreicht Du aktuell mit dem Test?

[datenbanken24]

Ich befürchte ein "F"

[Ice-Tee]

Na ja, im Test aktuell unter Cipher Strength = 90.
Da jetzt aber im Protocol Support nur noch 70 erreicht werden, erhalte ich für unseren Domino nur noch ein "C". Immerhin kein "F" 

[shiraz]

Der server bekommt ein "C" weil "SSL_DISABLE_RENEGOTIATE=1" in der Notes.ini steht.

[Ice-Tee]

Hallo,

wenn ich "SSL_DISABLE_RENEGOTIATE=1" rausnehme, bekomme ich eine "F". Bei "Protocol Support" steht dann einen "0".
Frage: Unterstützt Domino 8.5.3FP6 eigentlich das Protokol TLS 1.2, TLS 1.1 oder TLS 1.0? Und wenn ja, wie kann ich diese aktivieren?

Danke.

[Pfefferminz-T]

Eine Millisekunde gesucht:

http://atnotes.de/index.php/topic,58262.0.html

[ascabg]

Hallo,

Eventuell bringt ihn das hier ja auch noch etwas weiter.

Fix-Pack's von IBM


Andreas