Re: Postfix Dovecot et SSL : SSL23: unknown protocol : RÉSOLU

[Thierry Bugier Pineau <bugier.t@gmail.com>]

Voilà ce que j'ai pour mon serveur web dans la cipher suite

ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256

Ca ne liste que des méthodes de chiffrement, le protocole est dans un paramétrage à part, contrairement à ce que j'avais dans mon souvenir.

En cherchant activement il semble que !SSLv3 !TLSv1.0 et !TLSv1.1 auraient mieux leur place dans ssl_protocols (qui devrait être sur la ligne précédant ssl_cipher_list)

je pense que vous pouvez essayer d'ajouter !SSLv3 puis !TLSv1.0 et !TLSv1.1 successivement en testant à chaque fois, et voir si des problèmes apparaissent. Du moment que vous gardez une configuration qui fonctionne au chaud, il n'y a pas de risque particulier.

En réponse à votre dernier mesage :

- Je remets le lien vers la page wikipédia : l'accent a été altéré

https://fr.wikipedia.org/wiki/Confidentialité_persistante

- un exemple de connection client avec openssl en forçant tls1 (testé sur imap.gmail.com)

openssl s_client -connect imap.server.com:993 -tls1

Je suis sous Debian Sid, et -ssl2 et -ssl3 ne sont apparemment plus reconnus (bien qu'encore présents dans la documentation).

Le vendredi 31 mars 2017 à 19:00 +0200, andre_debian@numericable.fr a écrit :

On Friday 31 March 2017 14:22:31 Thierry Bugier Pineau wrote:
> Ce serait intéressant de savoir ce que contenant la liste
> ssl_cipher_list avant modification, et ce qu'elle contient maintenant.

Avant :
ssl_cipher_list = ALL:!LOW:!SSLv2:!SSLv3:ALL:!aNULL:!ADH:!eNULL:!EXP:RC4+RSA:
+HIGH:+MEDIUM

Maintenant :
ssl_cipher_list = TLSv1+HIGH !SSLv2 !RC4 !aNULL !eNULL !3DES @STRENGTH

> Je vous invite à utiliser un outil de test SSL / TLS en ligne : 

SSL/TLS est bien activé et l'outil de test est positif,
openssl, testssl etc...

> pour affiner la configuration maintenant, car il y a un paquet 
> de  choses à faire pour avoir un chiffrement pas trop fragile.

"Affiner et un paquet de  choses à faire" :
que peut-on faire ?  Là je suis dépassé...

André