GAP2000扫描出“目标主机支持RSA密钥交换”漏洞

这个建议400拨入确认下

GAP2000 扫描：目标主机支持 RSA 密钥交换漏洞（H3C 网闸 GAP2000 整改）
漏洞原理
漏洞描述：设备 TLS 服务启用纯 RSA 密钥交换套件（TLS_RSA_*），该算法无向前保密 (PFS)。一旦服务器私钥泄露，所有历史加密通信都可被解密，属于中风险原理扫描漏洞，并非系统 CVE 漏洞。
整改目标：禁用全部纯 RSA 密钥交换套件，只保留 ECDHE/DHE 系列（具备前向保密），强制 TLS1.2/TLS1.3。
⚠️区分：TLS_RSA_xxx（风险，纯 RSA 密钥交换，需要禁用）；TLS_ECDHE_RSA_xxx（安全，ECDHE 做密钥交换、RSA 仅签名，可以保留）。
H3C GAP2000 网闸整改操作
GAP2000 漏洞来自设备自身 Web 管理界面 HTTPS 服务，需要修改网闸 SSL 服务器策略，调整密码套件集。
步骤 1：登录网闸命令行（Console/SSH），备份配置
plaintext
save safely
步骤 2：创建 SSL 服务器策略，剔除纯 RSA 套件
plaintext
#创建ssl服务策略
ssl server-policy Gap-Web-Secure
#只添加ECDHE开头安全套件，不要添加TLS_RSA_*类套件
ciphersuite ecdhe_rsa_aes_128_gcm_sha256
ciphersuite ecdhe_rsa_aes_256_gcm_sha384
ciphersuite ecdhe_ecdsa_aes_128_gcm_sha256
ciphersuite ecdhe_ecdsa_aes_256_gcm_sha384
#协议强制TLS1.2、TLS1.3，关闭TLS1.0、TLS1.1
ssl server-policy Gap-Web-Secure protocol tls1.2 tls1.3
步骤 3：将策略绑定到网闸 Web 管理 HTTPS 服务
plaintext
ip https ssl-server-policy Gap-Web-Secure
步骤 4：查看确认策略生效
plaintext
display ssl server-policy Gap-Web-Secure
确认输出中不存在任何rsa_aes_*不带 ecdhe 前缀的密码套件。
步骤 5：保存配置
plaintext
save
✨重要：修改后 Web 管理仅支持 TLS1.2 + 浏览器；老旧 IE 浏览器无法登录管理页面，提前确认运维客户端浏览器兼容性。
备选方案（如果固件版本老旧，不支持自定义 ciphersuite）
将 GAP2000 升级到官网最新版本固件，新版本默认已剔除不安全 RSA 密钥交换套件。
如果不能升级固件：联系 H3C400 技术支持获取适配补丁包。
验证修复
重新使用 GAP2000 漏洞扫描器，再次扫描网闸管理 IP，确认该漏洞消失。
简易 openssl 本地验证命令（电脑 cmd/linux）
bash
openssl s_client -connect 网闸管理IP:443
查看协商出来的 Cipher，确认不会出现TLS_RSA_*套件。
关于官方文档
H3C 公开文档没有专门针对这个漏洞的独立文档，参考手册为《H3C GAP 系列网闸 安全配置手册》-SSL/TLS 策略章节，可从 H3C 官网下载；也可以拨打 H3C 400 热线，开 case 索要适配 GAP2000 的配置案例。
常见踩坑点
❗不要把ECDHE_RSA套件删掉：该套件只是签名使用 RSA，密钥交换是 ECDHE，具备前向保密，不属于漏洞的风险项，需要保留保证浏览器兼容性。
如果配置完成扫描依旧报漏洞：确认策略已经真正绑定到ip https服务；部分旧版本网闸 Web 服务需要重启设备配置才完全生效。
如果业务存在老旧客户端只能使用 TLS1.1，无法直接关闭，则需要评估风险，做风险豁免。