Problem zur SSL/TLS-Verschlüsselung

[MONGi]

Hallo zusammen.

Ich nutze im Moment ioFTPD und bin soweit sehr zufrieden damit.

Allerdings habe zwei Probleme, welche ich seither noch nicht lösen konnte und zähle somit auf eure Erfahrungswerte.

1. Alle notwendigen Einstellungen zum betreiben der SSL/TLS-Verschlüsselung habe ich vorgenommen:
- Require_Encrypted_Auth = !*
- Require_Encrypted_Data = !*
- Encryption_Protocol = SSL3/TLS
- Min_Cipher_Strength = 168
- Max_Cipher_Strength = 168
Und auch die Ports über den Router zum Server weitergeleitet!

Wenn ich nun eine Verbindung innerhalb meines Netzwerkes (local oder von einem anderen PC innerhalb des Netzwerkes) herstelle und habe z.B. im FTP-Client SSL deaktiviert, verbindet sich der Client trotzdem erflogreich mit dem Server....dass dürfte doch normalerweise nicht sein!?

Wird eine neue Verbindung durch den Client hergestellt, diesmal mit SSL (Auth TLS), verbindet er sich wieder erfolgreich, was an der Stelle auch völlig in Ordnung ist.

2. Allerdings würde ich gerne den Hash-Algorithmus (von Standart 256bit auf z.B. 168bit) ändern:
[L] 220 FTP Server ready.
[L] AUTH TLS
[L] 234 AUTH TLS successful.
[L] Verbunden. TLSv1 Session aushandeln..
[L] TLSv1 Aushandlung erfolgreich...
[L] TLSv1 verschlüsselte Sitzung mit Cipher DHE-RSA-AES256-SHA (256 bits)
[L] PBSZ 0
[L] 200 PBSZ 0 successful.

So, dies sind meine zwei Fragestellungen und wäre über Hilfe seeeeehr dankbar

Schöne Grüße und ein erholsames Wochenende
Matze

[MONGi]

Kleine Änderung, Punkt 1 konnte ich folgendermaßen beheben:

- Require_Encrypted_Auth = *
- Require_Encrypted_Data = *

Die SSL-Verschlüsselung funktioniert, weiterhin besteht Punkt 2

Danke und schöne Grüße

Originally Posted by MONGi

1. Alle notwendigen Einstellungen zum betreiben der SSL/TLS-Verschlüsselung habe ich vorgenommen:
- Require_Encrypted_Auth = !*
- Require_Encrypted_Data = !*
- Encryption_Protocol = SSL3/TLS
- Min_Cipher_Strength = 168
- Max_Cipher_Strength = 168
Und auch die Ports über den Router zum Server weitergeleitet!

Wenn ich nun eine Verbindung innerhalb meines Netzwerkes (local oder von einem anderen PC innerhalb des Netzwerkes) herstelle und habe z.B. im FTP-Client SSL deaktiviert, verbindet sich der Client trotzdem erflogreich mit dem Server....dass dürfte doch normalerweise nicht sein!?

Wird eine neue Verbindung durch den Client hergestellt, diesmal mit SSL (Auth TLS), verbindet er sich wieder erfolgreich, was an der Stelle auch völlig in Ordnung ist.

[Flow]

have you install io as service application? - have you make sure that the user account that uses your machine is allowed to run io as a service program?

- Manage your ioFTPD service (in windows system service tab, check that your logon account to windows is set to run ioftpd)

[Flow]

and no, i dont speak or understand german that well, im guessing

[Yil]

I don't understand german either, but here's my guess as to what you were trying to do.

ioFTPD versions > 7.4 use OpenSSL and the 'Min_Cipher_Strength' / 'Max_Cipher_Strength' options have been replaced by the 'OpenSSL_Ciphers' option, see http://www.openssl.org/docs/apps/ciphers.html for details.

To see the full list of ciphers supported use 'site ciphers' command from a 'M' flagged (master) account. You can force 168 bit versions of the cipher suite to be preferred by listing them first... maybe something like this would work.

OpenSSL_Ciphers = DES-CBC3-SHA:DEFAULT:!LOW:!EXPORT

I STRONGLY suggest making sure the 'Encryption_Protocol' option is COMMENTED out. Trust me, limiting this is usually a bad thing.

[MONGi]

Hello Flow, Hello Jil.

@Flow:
The points you are listed i have checked and all fine.

@Jil:
Now i have change the line in ioftpd.ini to " OpenSSL_Ciphers = EDH-RSA-DES-CBC3-SHAEFAULT:!LOW:!EXPORT ".

Perfect, see below:
[R] AUTH TLS
[R] 234 AUTH TLS successful.
[R] Verbunden. TLSv1 Session aushandeln..
[R] TLSv1 Aushandlung erfolgreich...
[R] TLSv1 verschlüsselte Sitzung mit Cipher EDH-RSA-DES-CBC3-SHA (168 bits)
[R] PBSZ 0
[R] 200 PBSZ 0 successful.

Thanks a lot for any helps 8)

...and sorry, excuse my bad english...

Greetings,
MONGi