Chiffrer la communication selon TLS

Afin d'éliminer les vulnérabilités sur votre réseau d'entreprise, vous pouvez activer le chiffrement du trafic, en utilisant le protocole TLS. Vous pouvez activer les protocoles de chiffrement TLS et les suites de chiffrement prises en charge sur le Serveur d'administration. Kaspersky Security Center Linux prend en charge les versions 1.0, 1.1, 1.2 et 1.3 du protocole TLS. Vous pouvez sélectionner le protocole de chiffrement et les suites de chiffrement requis.

Kaspersky Security Center Linux utilise des certificats auto-signés. Vous pouvez également utiliser vos propres certificats. Les experts de Kaspersky recommande d'utiliser des certificats émis par des autorités de certification de confiance.

Pour configurer les protocoles de chiffrement et les suites cryptographiques sur le Serveur d'administration :

1. Exécutez la ligne de commande, puis remplacez votre répertoire actuel par celui contenant l'utilitaire klscflag. L'utilitaire klsclag se trouve dans le répertoire dans lequel le Serveur d'administration est installé. Le chemin d'installation par défaut est /opt/kaspersky/ksc64/sbin.
2. Utilisez l'indicateur SrvUseStrictSslSettings pour configurer les protocoles de chiffrement et les suites de chiffrement autorisés sur le Serveur d'administration. Sous le compte root, exécutez la commande suivante dans la ligne de commande :

   klscflag -fset -pv ".core/.independent" -s Transport -n SrvUseStrictSslSettings -v <value> -t d

   Spécifiez le paramètre <value> de l'indicateur SrvUseStrictSslSettings :

   • 4 : Seuls les protocoles TLS 1.2 et TLS 1.3 sont activés. Les suites de chiffrement avec LS_RSA_WITH_AES_256_GCM_SHA384 sont également activées (ces suites de chiffrement sont nécessaires pour une compatibilité descendante avec Kaspersky Security Center 11). Il s'agit de la valeur par défaut.

     Suites de chiffrement prises en charge pour le protocole TLS 1.2 :

     • ECDHE-RSA-AES256-GCM-SHA384
     • ECDHE-RSA-AES256-SHA384
     • ECDHE-RSA-CHACHA20-POLY1305
     • AES256-GCM-SHA384 (suite de chiffrement avec TLS_RSA_WITH_AES_256_GCM_SHA384)
     • ECDHE-RSA-AES128-GCM-SHA256
     • ECDHE-RSA-AES128-SHA256

     Suites de chiffrement prises en charge pour le protocole TLS 1.3 :

     • TLS_AES_256_GCM_SHA384
     • TLS_CHACHA20_POLY1305_SHA256
     • TLS_AES_128_GCM_SHA256
     • TLS_AES_128_CCM_SHA256
   • 5 : Seuls les protocoles TLS 1.2 et TLS 1.3 sont activés. Pour les protocoles TLS 1.2 et TLS 1.3, les suites de chiffrement spécifiques répertoriées ci-dessous sont prises en charge.

     Suites de chiffrement prises en charge pour le protocole TLS 1.2 :

     • ECDHE-RSA-AES256-GCM-SHA384
     • ECDHE-RSA-AES256-SHA384
     • ECDHE-RSA-CHACHA20-POLY1305
     • ECDHE-RSA-AES128-GCM-SHA256
     • ECDHE-RSA-AES128-SHA256

     Suites de chiffrement prises en charge pour le protocole TLS 1.3 :

     • TLS_AES_256_GCM_SHA384
     • TLS_CHACHA20_POLY1305_SHA256
     • TLS_AES_128_GCM_SHA256
     • TLS_AES_128_CCM_SHA256

   Il est déconseillé d'utiliser 0, 1, 2 ou 3 comme valeur de paramètre de l'indicateur SrvUseStrictSslSettings. Les valeurs de ces paramètres correspondent aux versions non sécurisées du protocole TLS (TLS 1.0 et TLS 1.1) et aux suites de chiffrement non sécurisées et sont utilisées uniquement à des fins de compatibilité avec les versions antérieures de Kaspersky Security Center.

3. Redémarrez les services Kaspersky Security Center Linux suivants :
   • Serveur d'administration
   • Serveur Web
   • Proxy d'activation

En conséquence, le chiffrement du trafic à l'aide du protocole TLS est activé.

Vous pouvez utiliser les indicateurs KLTR_TLS12_ENABLED et KLTR_TLS13_ENABLED pour activer la prise en charge des protocoles TLS 1.2 et TLS 1.3, respectivement. Ces indicateurs sont activés par défaut.

Pour activer ou désactiver la prise en charge des protocoles TLS 1.2 et TLS 1.3 :

1. Exécutez l'utilitaire klscflag.

   Exécutez la ligne de commande, puis remplacez votre répertoire actuel par celui contenant l'utilitaire klscflag. L'utilitaire klsclag se trouve dans le répertoire dans lequel le Serveur d'administration est installé. Le chemin d'installation par défaut est /opt/kaspersky/ksc64/sbin.

2. Dans la ligne de commande sous le compte root, exécutez une des commandes suivantes :
   • Utilisez cette commande pour activer ou désactiver la prise en charge du protocole TLS 1.2 :

     klscflag -fset -pv ".core/.independent" -s Transport -n KLTR_TLS12_ENABLED -v <value> -t d

   • Utilisez cette commande pour activer ou désactiver la prise en charge du protocole TLS 1.3 :

     klscflag -fset -pv ".core/.independent" -s Transport -n KLTR_TLS13_ENABLED -v <value> -t d

   Spécifiez le paramètre <value> de l'indicateur :

   • 1 : Pour activer la prise en charge du protocole TLS.
   • 0 : Pour désactiver la prise en charge du protocole TLS.