红帽全球峰会2.3. cn=encryption,cn=config
加密相关的属性存储在 cn=encryption,cn=config 条目下。cn=encryption,cn=config 条目是 nsslapdEncryptionConfig 对象类的实例。
2.3.1. allowWeakCipher
此属性控制是否允许或拒绝弱密码。默认值取决于 nsSSL3Ciphers 参数中设置的值。
如果以下情况，密码被视为弱：
它们可以导出。
可导出的密码在密码名称中被标记为
EXPORT。例如，在TLS_RSA_EXPORT_WITH_RC4_40_MD5中。它们比 3DES 算法的对称和更弱。
对于加密和解密，对称加密都使用相同的加密密码。
- 密钥长度比 128 位短。
必须重新启动服务器，才能使此属性的更改生效。
| 条目 DN | cn=encryption,cn=config |
| 有效值 | on | off |
| 默认值 |
|
| 语法 | DirectoryString |
| 示例 | allowWeakCipher: on |
2.3.2. allowWeakDHParam
与 Directory Server 相关联的网络安全服务(NSS)库至少需要 2048 位 Diffie-Hellman (DH)参数。但是，一些客户端连接到目录服务器，如 Java 1.6 和 1.7 客户端，只支持 1024 位 DH 参数。allowWeakDHParam 参数允许您启用对目录服务器中弱 1024 位 DH 参数的支持。
必须重新启动服务器，才能使此属性的更改生效。
| 参数 | 描述 |
|---|---|
| 条目 DN | cn=encryption,cn=config |
| 有效值 | on | off |
| 默认值 | off |
| 语法 | DirectoryString |
| 示例 | allowWeakDHParam: off |
2.3.3. nsSSL3Ciphers
此属性指定在加密通信过程中使用的 TLS 加密加密目录服务器集合。
此参数中设置的值会影响 allowWeakCipher 参数的默认值。详情请查看 allowWeakCipher。
| 参数 | 描述 |
|---|---|
| 条目 DN | cn=encryption,cn=config |
| 有效值 | 以逗号分隔的 NSS 支持的密码列表。另外，也可以以下参数： * 默认 ：启用 NSS 公告的默认密码，但弱密码除外。如需更多信息，请参阅 列出 SSL 连接支持的密码套件。
* +all ：所有密码都已启用。如果启用了 * -all ：禁用所有密码。 |
| 默认值 | default |
| 语法 | DirectoryString
使用加号(
要启用所有密码 - 除 |
| 示例 | nsSSL3Ciphers: +TLS_RSA_AES_128_SHA,+TLS_RSA_AES_256_SHA,+TLS_RSA_WITH_AES_128_GCM_SHA256,-RSA_NULL_SHA |
2.3.4. nsSSLActivation
此属性显示是否为给定安全模块启用 TLS 密码系列。
| 条目 DN | cn=encryptionType,cn=encryption,cn=config |
| 有效值 | on | off |
| 默认值 | |
| 语法 | DirectoryString |
| 示例 | nsSSLActivation: on |
2.3.5. nsSSLClientAuth
此属性显示目录服务器如何强制实施客户端身份验证。它接受以下值：
-
off- Directory Server 不接受客户端身份验证 -
allowed（默认）- 目录服务器接受客户端身份验证，但不需要它 -
必需- 所有客户端都必须使用客户端身份验证。
必须重新启动服务器，才能使此属性的更改生效。
| 参数 | 描述 |
|---|---|
| 条目 DN | cn=config |
| 有效值 | off | 允许 | 必需 |
| 默认值 | allowed |
| 语法 | DirectoryString |
| 示例 | nsSSLClientAuth: allowed |
2.3.6. nsSSLEnabledCiphers
目录服务器自动生成多值 nsSSLEnabledCiphers 属性。属性是只读的，显示当前使用的密码目录服务器。列表可能与您在 nsSSL3Ciphers 属性中设置的不同。例如，如果您在 nsSSL3Ciphers 属性中设置弱密码，但 allowWeakCipher 被禁用，nsSSL EnabledCiphers 属性不会列出弱密码，也不会列出弱密码，也不会使用它们。
| 参数 | 描述 |
|---|---|
| 条目 DN | cn=config |
| 有效值 | 此属性的值是自动生成的和只读。 |
| 默认值 | |
| 语法 | DirectoryString |
| 示例 | nsSSLClientAuth: TLS_RSA_WITH_AES_256_CBC_SHA::AES::SHA1::256 |
2.3.7. nsSSLPersonalitySSL
此属性包含用于 SSL 的证书名称。
| 条目 DN | cn=encryption,cn=config |
| 有效值 | 证书 nickname |
| 默认值 | |
| 语法 | DirectoryString |
| 例如： | nsSSLPersonalitySSL: Server-Cert |
2.3.8. nsSSLSessionTimeout
此属性设置 TLS 连接的生命周期持续时间。最小超时值为 5 秒。如果设置了较小的值，则它会自动替换为 5 秒。大于以下有效范围中最大值的值将被范围中的最大值替换。
必须重新启动服务器，才能使此属性的更改生效。
| 参数 | 描述 |
|---|---|
| 条目 DN | cn=encryption,cn=config |
| 有效范围 | 5 秒到 24 小时 |
| 默认值 | 0，这意味着使用以上有效范围内的最大值。 |
| 语法 | 整数 |
| 示例 | nsSSLSessionTimeout: 5 |
2.3.9. nsSSLSupportedCiphers
此属性包含服务器支持的密码。
| 条目 DN | cn=encryption,cn=config |
| 有效值 | 特定的系列、密码和强度字符串 |
| 默认值 | |
| 语法 | DirectoryString |
| 例如： | nsSSLSupportedCiphers: TLS_RSA_WITH_AES_256_CBC_SHA::AES::SHA1::256 |
2.3.10. nsSSLToken
此属性包含服务器使用的令牌（安全模块）的名称。
| 条目 DN | cn=encryption,cn=config |
| 有效值 | 模块名称 |
| 默认值 | |
| 语法 | DirectoryString |
| 例如： | nsSSLToken: internal (software) |
2.3.11. nsTLS1
启用 TLS 版本 1。与 TLS 一起使用的密码在 nsSSL3Ciphers 属性中定义。
如果 sslVersionMin 和 sslVersionMax 参数与 nsTLS1 结合使用，则目录服务器会选择这些参数中最安全的设置。
必须重新启动服务器，才能使此属性的更改生效。
| 参数 | 描述 |
|---|---|
| 条目 DN | cn=encryption,cn=config |
| 有效值 | on | off |
| 默认值 | on |
| 语法 | DirectoryString |
| 示例 | nsTLS1: on |
2.3.12. nsTLSAllowClientRenegotiation
目录服务器使用带有 SSL_ENABLE_RENEGOTIATION 选项的 SSL_OptionSet （） 网络安全服务(NSS)函数来控制 NSS 的 TLS 重新协商行为。
nsTLSAllowClientRenegotiation 属性控制 Directory 服务器传递给 SSL_ENABLE_RENEGOTIATION 选项的值：
-
如果您在 上设置了
nsTLSAllowClientRenegotiation:，目录服务器会将SSL_RENEGOTIATE_REQUIRES_XTN传递给SSL_ENABLE_RENEGOTIATION选项。在这种情况下，NSS 允许使用 RFC 5746 的安全重新协商尝试。 -
如果您设置了
nsTLSAllowClientRenegotiation: off，Directory 服务器会将SSL_RENEGOTIATE_NEVER传递给SSL_ENABLE_RENEGOTIATION选项。在这种情况下，NSS 拒绝所有重新协商尝试，甚至是安全的。
有关 NSS TLS 重新协商行为的详情，请查看 红帽受到 TLS 重新协商 MITM 攻击 (CVE-2009-3555)中的 NSS （网络安全服务）中的 RFC 5746 实现 部分？
必须重启该服务才能使此属性生效。
| 参数 | 描述 |
|---|---|
| 条目 DN | cn=encryption,cn=config |
| 有效值 | on | off |
| 默认值 | on |
| 语法 | DirectoryString |
| 示例 | nsTLSAllowClientRenegotiation: on |
2.3.13. sslVersionMax
设置要使用的 TLS 协议的最大版本。默认情况下，这个值被设置为系统中安装的 NSS 库中最新可用协议版本。
必须重新启动服务器，才能使此属性的更改生效。
如果 sslVersionMin 和 sslVersionMax 参数与 nsTLS1 结合使用，则目录服务器会选择这些参数中最安全的设置。
| 条目 DN | cn=encryption,cn=config |
| 有效值 |
TLS 协议版本，如 |
| 默认值 | 在系统中安装的 NSS 库中最新的可用协议版本 |
| 语法 | DirectoryString |
| 例如： | sslVersionMax: TLS1.2 |
2.3.14. sslVersionMin
sslVersionMin 参数设置 TLS 协议目录服务器使用的最低版本。但是，在默认情况下，Directory 服务器会根据系统范围的加密策略自动设置此参数。如果将 /etc/crypto-policies/config 文件中的加密策略配置集设置为：
-
DEFAULT、FUTURE或FIPS，目录服务器将sslVersionMin设置为TLS1.2 -
LEGACY, Directory Server 将sslVersionMin设置为TLS1.0
或者，您可以手动将 sslVersionMin 设置为比加密策略中定义的值更高的值。
必须重启该服务才能使此属性生效。
| 条目 DN | cn=encryption,cn=config |
| 有效值 |
TLS 协议版本，如 |
| 默认值 | 取决于您设置的系统范围的加密策略配置集。 |
| 语法 | DirectoryString |
| 例如： | sslVersionMin: TLS1.2 |
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}