Prise en charge des suites de chiffrement ECDSA
Les suites de chiffrement ECDSA utilisent la cryptographie à courbe elliptique (ECC). En raison de sa taille réduite, il est utile dans les environnements où la puissance de traitement, l’espace de stockage, la bande passante et la consommation d’énergie sont limitées.
Lorsque le groupe de chiffrement ECDHE_ECDSA est utilisé, le certificat du serveur doit contenir une clé publique compatible ECDSA.
Le tableau suivant répertorie les chiffrements ECDSA pris en charge sur les appliances NetScaler MPX et SDX avec puces N3, les appliances NetScaler VPX, les appliances MPX 5900/26000 et MPX/SDX 8900/15000.
| Nom du code | Priority | Description | algorithme d’échange de clés | algorithme d’authentification | Algorithme de chiffrement (taille de clé) | Algorithme de code d’authentification de message (MAC) | HexCode |
|---|---|---|---|---|---|---|---|
| TLS1-ECDHE-ECDSA-AES128-SHA | 1 | SSLv3 | ECC-DHE | ECDSA | AES (128) | SHA1 | 0xc009 |
| TLS1-ECDHE-ECDSA-AES256-SHA | 2 | SSLv3 | ECC-DHE | ECDSA | AES (256) | SHA1 | 0xc00a |
| TLS1.2-ECDHE-ECDSA-AES128-SHA256 | 3 | TLSv1.2 | ECC-DHE | ECDSA | AES (128) | SHA-256 | 0xc023 |
| TLS1.2-ECDHE-ECDSA-AES256-SHA384 | 4 | TLSv1.2 | ECC-DHE | ECDSA | AES (256) | SHA-384 | 0xc024 |
| TLS1.2-ECDHE-ECDSA-AES128-GCM-SHA256 | 5 | TLSv1.2 | ECC-DHE | ECDSA | AES-GCM(128) | SHA-256 | 0xc02b |
| TLS1.2-ECDHE-ECDSA-AES256-GCM-SHA384 | 6 | TLSv1.2 | ECC-DHE | ECDSA | AES-GCM(256) | SHA-384 | 0xc02c |
| TLS1-ECDHE-ECDSA-RC4-SHA | 7 | SSLv3 | ECC-DHE | ECDSA | RC4(128) | SHA1 | 0xc007 |
| TLS1-ECDHE-ECDSA-DES-CBC3-SHA | 8 | SSLv3 | ECC-DHE | ECDSA | 3DES(168) | SHA1 | 0xc008 |
| TLS1.2-ECDHE-ECDSA-CHACHA20-POLY1305 | 9 | TLSv1.2 | ECC-DHE | ECDSA | CHACHA20/POLY1305 (256) | AEAD | 0xcca9 |
Sélection de certificat et chiffrement ECDSA/RSA
Vous pouvez lier simultanément des certificats de serveur ECDSA et RSA à un serveur virtuel SSL. Lorsque les certificats ECDSA et RSA sont liés au serveur virtuel, celui-ci sélectionne automatiquement le certificat de serveur approprié à présenter au client. Si la liste de chiffrement du client inclut des chiffrements RSA, mais pas des chiffrements ECDSA, le serveur virtuel présente le certificat du serveur RSA. Si les deux chiffrements figurent dans la liste du client, le certificat de serveur présenté dépend de la priorité de chiffrement définie sur le serveur virtuel. C’est-à-dire que si RSA a une priorité plus élevée, le certificat RSA est présenté. Si l’ECDSA a une priorité plus élevée, le certificat ECDSA est présenté au client.
Authentification du client à l’aide d’un certificat ECDSA ou RSA
Pour l’authentification du client, le certificat CA lié au serveur virtuel peut être signé ECDSA ou RSA. L’appliance prend en charge une chaîne de certificats mixte. Par exemple, la chaîne de certificats suivante est prise en charge.
Certificat client (ECDSA) <-> Certificat CA (RSA) <-> Certificat intermédiaire (RSA) <-> Certificat racine (RSA)
Le tableau suivant présente les courbes elliptiques prises en charge par les différentes appliances NetScaler dotées de groupes de chiffrement ECDSA et de certificats ECDSA :
| Courbes elliptiques | Plates-formes prises en charge |
|---|---|
| prime 256 v1 | Toutes les plateformes, y compris FIPS. |
| secp384r1 | Toutes les plateformes, y compris FIPS. |
| secp521r1 | MPX 5900, MPX/SDX 8900, MPX/SDX 15000, MPX/SDX 26000, VPX |
| secp224r1 | MPX 5900, MPX/SDX 8900. MPX/SDX 15000, MPX/SDX 26000, VPX |
Créer une paire de clés de certificat ECDSA
Vous pouvez créer une paire de clés de certificat ECDSA directement sur une appliance NetScaler à l’aide de l’interface de ligne de commande ou de l’interface graphique. Auparavant, vous pouviez installer et lier une paire de clés de certificat ECC sur l’appliance, mais vous deviez utiliser OpenSSL pour créer une paire de clés de certificat.
Seules les courbes P_256 et P_384 sont prises en charge.
Remarque
Ce support est disponible sur toutes les plateformes sauf MPX 9700/1050/12500/15500.
Pour créer une paire de clés de certificat ECDSA à l’aide de l’interface de ligne de commande :
À l’invite de commandes, tapez :
create ssl ecdsaKey <keyFile> -curve ( P_256 | P_384 ) [-keyform ( DER | PEM )] [-des | -des3] {-password } [-pkcs8]
<!--NeedCopy-->
Exemple :
create ecdsaKey ec_p256.ky -curve P_256 -pkcs8
Done
create ecdsaKey ec_p384.ky -curve P_384
Done
<!--NeedCopy-->
Pour créer une paire de clés de certificat ECDSA à l’aide de l’interface graphique :
- Accédez à Gestion du trafic > SSL > Fichiers SSL > Clés, puis cliquez sur Créer une clé ECDSA.
- Pour créer une clé au format PKCS #8, sélectionnez PKCS8.