Cifrar la comunicación con TLS

Para corregir vulnerabilidades en la red corporativa de su organización, puede activar el cifrado de tráfico mediante el protocolo TLS. Puede activar los protocolos de cifrado TLS y los conjuntos de cifrado compatibles en el Servidor de administración. Kaspersky Security Center Linux admite las versiones 1.0, 1.1, 1.2 y 1.3 del protocolo TLS. Puede seleccionar el protocolo y los conjuntos de cifrado requeridos.

Kaspersky Security Center Linux utiliza certificados autofirmados. También puede utilizar sus propios certificados. Los especialistas de Kaspersky recomiendan utilizar certificados emitidos por autoridades de certificación de confianza.

Para configurar los protocolos de cifrado permitidos y las suites de cifrado en el Servidor de administración:

1. Ejecute el símbolo del sistema y luego cambie el directorio actual al directorio con la utilidad klscflag. La utilidad klscflag se encuentra en el directorio donde está instalado el Servidor de administración. La ruta de instalación predeterminada es /opt/kaspersky/ksc64/sbin.
2. Utilice el indicador SrvUseStrictSslSettings para configurar los protocolos y los conjuntos de cifrado permitidos en el Servidor de administración. Ejecute el siguiente comando en la línea de comandos en la cuenta raíz:

   klscflag -fset -pv ".core/.independent" -s Transport -n SrvUseStrictSslSettings -v <valor> -t d

   Especifique el parámetro <valor> del indicador SrvUseStrictSslSettings flag:

   • 4: Solo están activados los protocolos TLS 1.2 y TLS 1.3. También se activan los conjuntos de cifrado con TLS_RSA_WITH_AES_256_GCM_SHA384 (estos conjuntos de cifrado son necesarios para la compatibilidad con versiones anteriores de Kaspersky Security Center 11). Este es el valor predeterminado.

     Conjuntos de cifrado compatibles con el protocolo TLS 1.2:

     • ECDHE-RSA-AES256-GCM-SHA384
     • ECDHE-RSA-AES256-SHA384
     • ECDHE-RSA-CHACHA20-POLY1305
     • AES256-GCM-SHA384 (conjunto de cifrado con TLS_RSA_WITH_AES_256_GCM_SHA384)
     • ECDHE-RSA-AES128-GCM-SHA256
     • ECDHE-RSA-AES128-SHA256

     Conjuntos de cifrado compatibles con el protocolo TLS 1.3:

     • TLS_AES_256_GCM_SHA384
     • TLS_CHACHA20_POLY1305_SHA256
     • TLS_AES_128_GCM_SHA256
     • TLS_AES_128_CCM_SHA256
   • 5: Solo están activados los protocolos TLS 1.2 y TLS 1.3. Para los protocolos TLS 1.2 y TLS 1.3, se admiten los conjuntos de cifrado específicos que se enumeran a continuación.

     Conjuntos de cifrado compatibles con el protocolo TLS 1.2:

     • ECDHE-RSA-AES256-GCM-SHA384
     • ECDHE-RSA-AES256-SHA384
     • ECDHE-RSA-CHACHA20-POLY1305
     • ECDHE-RSA-AES128-GCM-SHA256
     • ECDHE-RSA-AES128-SHA256

     Conjuntos de cifrado compatibles con el protocolo TLS 1.3:

     • TLS_AES_256_GCM_SHA384
     • TLS_CHACHA20_POLY1305_SHA256
     • TLS_AES_128_GCM_SHA256
     • TLS_AES_128_CCM_SHA256

   No recomendamos usar 0, 1, 2 o 3 como valor de parámetro del indicador SrvUseStrictSslSettings. Estos valores de parámetros corresponden a versiones del protocolo TLS no seguras (TLS 1.0 y TLS 1.1) y conjuntos de cifrado no seguros, y se utilizan solo para la compatibilidad con versiones anteriores de Kaspersky Security Center.

3. Reinicie los siguientes servicios de Kaspersky Security Center Linux:
   • Servidor de administración
   • Servidor web
   • Proxy de activación

Como resultado, se activa el cifrado de tráfico mediante el protocolo TLS.

Puede utilizar los indicadores KLTR_TLS12_ENABLED y KLTR_TLS13_ENABLED para activar la compatibilidad con los protocolos TLS 1.2 y TLS 1.3, respectivamente. Estos indicadores están activados de forma predeterminada.

Para activar o desactivar la compatibilidad con los protocolos TLS 1.2 y TLS 1.3, siga estos pasos:

1. Ejecute la utilidad klscflag.

   Ejecute el símbolo del sistema y luego cambie el directorio actual al directorio con la utilidad klscflag. La utilidad klscflag se encuentra en el directorio donde está instalado el Servidor de administración. La ruta de instalación predeterminada es /opt/kaspersky/ksc64/sbin.

2. Ejecute uno de los siguientes comandos en la línea de comandos en la cuenta raíz:
   • Utilice este comando para activar o desactivar la compatibilidad con el protocolo TLS 1.2:

     klscflag -fset -pv ".core/.independent" -s Transport -n KLTR_TLS12_ENABLED -v <value> -t d

   • Utilice este comando para activar o desactivar la compatibilidad con el protocolo TLS 1.3:

     klscflag -fset -pv ".core/.independent" -s Transport -n KLTR_TLS13_ENABLED -v <value> -t d

   Especifique el parámetro <valor> del indicador:

   • 1: Para activar la compatibilidad con el protocolo TLS.
   • 0: Para desactivar la compatibilidad con el protocolo TLS.