How to Disable Weak Cipher (RC4) in IIS

บทนำ (Overviews)

ขั้นตอนการปิด RC4  บน IIS

ขั้นตอน (Steps)

1. สามารถติดตั้ง Web Server ได้จากบทความ
   • How to enable IIS 7 on Windows Server 2008 or Window Server 2008 R2
   • How to enable SSL on IIS 7
2. สามารถตรวจสอบได้ว่า มี Weak Cipher คือใช้ RC4 ได้จาก Nessus ดังนี้
3. พบ Cipher ตัวเป็น RC4 และมีขนาด 128 Bits ดังนี้

     RC4-MD5                      Kx=RSA         Au=RSA      Enc=RC4(128)             Mac=MD5    
     RC4-SHA                      Kx=RSA         Au=RSA      Enc=RC4(128)             Mac=SHA1   
   

4. และใช้โปรแกรม SSLscan ใน Kali เพื่อตรวจสอบ Cipher ทั้งหมด

วิธี Manual

1. คลิก  Start, Run, พิมพ์ regedit, และคลิก OK
2. ให้ไปที่

   HKey_Local_Machine\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\Ciphers
   

3. จากตัวอย่างถ้าเราไม่พบชื่อ Cipher ใด ๆ แต่มีช่องโหว่ดังกล่าวแสดงว่าเป็น Cipher default ที่ตั้งเอาไว้แต่เริ่มต้นให้สร้าง โฟลเดอร์ RC4 กับ Bits 128 ดังภาพ
4. เข้าไปใน Folder ที่เราสร้างขึ้นมาใหม่. จากนั้นคลิก Edit แล้วเลือก New  และคลิก  DWORD (32-bit) Value.
5. พิมพ์ Enabled แล้ว Enter
6. ตรวจสอบให้แน่ใจว่า ในคอลัมภ์ Data มีค่าเป็น (โดยปกติเป็นค่า Default ถ้าไม่ใช่ให้เลือก Modify แล้วเปลี่ยนเป็น 0)

   0x00000000 (0)
   

   

7. Restart. เครื่องและทดสอบ Scan อีกครั้งจะพบว่า Cipher RC4 หายไปดังนี้
   

สำหรับ Bits ขนาดอื่น ๆ ถ้าพบให้ทำในรูปแบบเดียวกันดังนี้

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128
"Enabled"=dword:00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128
"Enabled"=dword:00000000

 

อ้างอิง (References)

• https://www.sslshopper.com/article-how-to-disable-ssl-2.0-in-iis-7.html
• https://www.ssllabs.com/projects/best-practices/
• https://github.com/ssllabs/research/wiki/SSL-and-TLS-Deployment-Best-Practices
• https://samrueby.com/2015/06/08/how-to-disable-sslv3-and-rc4-ciphers-in-iis/
• https://blogs.technet.microsoft.com/srd/2013/11/12/security-advisory-2868725-recommendation-to-disable-rc4/