Configurer des protocoles de sécurité et des suites de chiffrement pour Blast Secure Gateway (BSG)

Vous pouvez configurer les protocoles de sécurité et les suites de chiffrement acceptés par l'écouteur côté client de BSG en modifiant le fichier absg.properties.

Remarque : les paramètres de sécurité du Serveur de connexion ne s'appliquent pas à BSG. Vous devez configurer la sécurité pour BSG séparément.

Les protocoles pris en charge sont les suivants :

Les anciens protocoles, tels que SSLv3 et versions antérieures, ne sont jamais autorisés.

Deux propriétés, localHttpsProtocolLow et localHttpsProtocolHigh, déterminent la plage de protocoles que l'écouteur BSG acceptera. Par exemple, les paramètres localHttpsProtocolLow=tls1.1 et localHttpsProtocolHigh=tls1.3 configurent l'écouteur pour qu'il accepte TLS 1.1, TLS 1.2 et TLS 1.3. Vous pouvez examiner le fichier absg.log de BSG pour détecter les valeurs en vigueur pour une instance de BSG spécifique.

Vous devez spécifier la liste de chiffrements en utilisant le format défini dans OpenSSL. Vous pouvez rechercher openssl cipher string dans un navigateur Web et déterminer le format de la liste de chiffrement. Les listes de chiffrement par défaut sont les suivantes :

ECDHE+AESGCM

TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384

Remarque : en mode FIPS, seules les suites de chiffrement GCM sont activées (ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256).

Procédure

1. Sur l'instance du Serveur de connexion, modifiez le fichier install_directory\Omnissa\Horizon\Server\appblastgateway\absg.properties.

   Par défaut, le répertoire installé est %ProgramFiles%.

2. Modifiez les propriétés localHttpsProtocolLow et localHttpsProtocolHigh pour spécifier une plage de protocoles.

   Par exemple,

   localHttpsProtocolLow=tls1.1
   localHttpsProtocolHigh=tls1.3
   

   Pour activer un seul protocole, spécifiez le même protocole pour localHttpsProtocolLow et localHttpsProtocolHigh.

3. Modifiez la propriété localHttpsCipherSpec pour spécifier une liste de suites de chiffrement.

   Par exemple,

   localHttpsCipherSpec=!aNULL:kECDH+AESGCM:ECDH+AESGCM:kECDH+AES:ECDH+AES
   

4. Redémarrez Horizon Blast Secure Gateway du service Windows.