问
SecPath F1000-AI-90漏洞问题、请问怎么解决、谢谢
19小时前提问
- 0关注
- 0收藏，48浏览
问题描述：
详细描述
目标主机支持 RSA 密钥交换意味着缺乏前向保密，存在历史流量解密风险，是过时且不推荐使用的配置，建议更新为 ECDHE 等临时密钥交换算法，以增强会话安全性和隐私保护。
解决办法
解决方案：
禁用 RSA key exchange：只支持临时密钥交换算法（如 ECDHE_RSA 或 ECDHE_ECDSA）。
强制 TLS 1.2 或 TLS 1.3，并优先选择支持前向保密的密码套件，比如：
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
- 先备份配置，保存当前 running-config，配置错误会导致 SSL VPN/WEB 管理无法登录
- 确认版本：
display version，低版本 CMW7 早期版本 TLS1.3 支持弱，建议升级到推荐稳定版 R9660Pxx - 确认当前 SSL 策略：
display ssl server-policy，记下当前策略名称（如 sslvpn-policy、https-admin） - 确认哪些业务引用这个 ssl server-policy：SSL VPN、web 管理 HTTPS，修改前先做业务停机窗口
CLI 完整配置（Console/SSH 登录防火墙）
1、进入系统视图
<H3C>system-view
2、进入 SSL 服务器策略（替换为你实际 policy 名称，例：sslvpn-policy）
[H3C]ssl server-policy sslvpn-policy
[H3C-ssl-server-policy-sslvpn-policy]
3、清空原有全部加密套件（关键！清除所有默认包含的 RSA 静态套件）
[H3C-ssl-server-policy-sslvpn-policy]undo ciphersuite
4、只添加带 ECDHE（前向保密）GCM 套件（按优先级排序，优先 128GCM）
[H3C-ssl-server-policy-sslvpn-policy]ciphersuite ecdhe_rsa_aes_128_gcm_sha256
[H3C-ssl-server-policy-sslvpn-policy]ciphersuite ecdhe_rsa_aes_256_gcm_sha384
可选补充：如需兼容部分老旧客户端，可以增加
ecdhe_rsa_aes_128_cbc_sha256，严禁添加任何 rsa_xxx 开头套件（rsa_aes_128_cbc_sha 这类就是静态 RSA，会再次触发漏洞）
5、关闭不安全 TLS 版本，仅启用 TLS1.2（V7 部分版本支持 TLS1.3，可按需开启）
# 关闭SSLv3、TLS1.0、TLS1.1
[H3C-ssl-server-policy-sslvpn-policy]version ssl3 disable
[H3C-ssl-server-policy-sslvpn-policy]version tls1.0 disable
[H3C-ssl-server-policy-sslvpn-policy]version tls1.1 disable
# 启用TLS1.2（默认enable，保险起见执行）
[H3C-ssl-server-policy-sslvpn-policy]version tls1.2 enable
# 如果固件支持TLS1.3，开启TLS1.3
[H3C-ssl-server-policy-sslvpn-policy]version tls1.3 enable
6、保存配置
[H3C-ssl-server-policy-sslvpn-policy]quit
[H3C]save
7、查看策略校验配置是否生效
display ssl server-policy sslvpn-policy
检查输出：
- Cipher suite 列表只有 ecdhe_rsa_gcm，没有 rsa_xxx
- TLS 版本：tls1.0/tls1.1/ssl3 都是 disabled
8、【防火墙 Web 管理页面 HTTPS】单独处理
防火墙本机 Web 管理 HTTPS 也会使用独立 ssl server-policy，如果漏洞扫描扫的是防火墙管理 IP，需要找到ssl server-policy https-admin，用上面完全相同步骤修改。
命令查看 web 引用：
display web https，查看引用的 ssl server-policy 名称
9、SSL 客户端策略（可选，防火墙主动对外 TLS 连接）
如果扫描同时检测防火墙作为 TLS 客户端，同样创建 / 修改 ssl client-policy，undo prefer-cipher后只添加 ecdhe 套件。
Web 界面配置方式（F1000-AI-90 WEB 管理）
- 登录防火墙 Web 管理 → 【对象】→【SSL 策略】→【SSL 服务器策略】
- 找到正在使用的策略（SSL VPN 或 WEB 管理对应的策略），编辑
- 协议版本：取消勾选 SSL3.0、TLS1.0、TLS1.1，保留 TLS1.2，支持 TLS1.3 则勾选
- 加密套件：清空全部套件，只勾选：
- ecdhe_rsa_aes_128_gcm_sha256
- ecdhe_rsa_aes_256_gcm_sha384
❌ 不要勾选任何 rsa_aes_xxx、dhe_rsa_xxx 套件
- 提交，保存配置
验证修复（漏洞复测）
- 使用扫描工具（Nessus、绿盟、天融信、nmap）复测目标 IP 端口（SSL VPN 一般 443）
- nmap 快速自测命令（本地 PC）
nmap --script ssl-enum-ciphers -p 443 你的防火墙公网IP
✅ 正常结果：
- 协商套件列表无 TLS_RSA_
- 仅 TLS1.2/TLS1.3，套件名称 TLS_ECDHE_RSA_AES_GCM
- 不再提示「RSA 密钥交换，缺乏前向保密」
常见坑与注意事项
- 业务兼容性风险 老旧客户端（XP、旧浏览器、老旧 SSL VPN 客户端）不支持 ECDHE/GCM，修改后会无法连接 SSL VPN。 若必须兼容老旧终端，可临时增加 ECDHE-CBC 套件，绝对不要加静态 RSA 套件。
- 证书：证书本身 RSA 证书没问题，漏洞不是证书算法问题，是密钥交换模式，不需要更换证书。
- 多业务区分：
- 443 端口 SSL VPN → 修改 SSL VPN 绑定的 ssl server-policy
- 防火墙管理端口（如 8443）→ 修改 web 管理绑定的 ssl server-policy
- 配置不生效：确认策略已经绑定到 SSL VPN 实例 / Web HTTPS；修改 SSL 策略不需要重启防火墙，但已经建立的旧 TLS 会话不会自动断开，需要用户重新连接。
- 国密场景：如果使用国密 SM2 证书，则使用 ecdhe_sm2 套件，不适用上面 RSA 证书 ECDHE 套件。
回滚方案（修改后业务异常）
system-view
ssl server-policy sslvpn-policy
undo ciphersuite
# 恢复默认全部套件
ciphersuite default
version tls1.0 enable
version tls1.1 enable
save
回滚后漏洞会重新存在，用于紧急业务恢复。
zhiliao_Gixe
九段
针对SecPath F1000-AI-90的RSA密钥交换漏洞，需在设备SSL/TLS服务配置中禁用RSA密钥交换，仅启用ECDHE等前向保密算法。
排查步骤：
1. 登录设备命令行，查看当前SSL策略配置：
display ssl server-policy
2. 确认引用的密码套件中是否包含RSA密钥交换算法（如TLS_RSA_WITH_AES_128_CBC_SHA）。
修复配置命令：
1. 进入系统视图：
system-view
2. 创建或修改SSL服务器策略：
ssl server-policy <策略名>
3. 配置仅支持前向保密的密码套件：
ciphersuite TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
4. 强制使用TLS 1.2及以上版本：
tls-version 1.2
5. 退出并保存：
quit
save force
若设备作为HTTPS管理或SSL VPN网关，需在相应服务视图下引用该策略：
ip https ssl-server-policy <策略名>
或
ssl server-policy <策略名>（在SSL VPN实例下）
验证：
使用openssl s_client -connect <设备IP>:443 -tls1_2检查协商算法，确认无RSA密钥交换。
排查步骤：
1. 登录设备命令行，查看当前SSL策略配置：
display ssl server-policy
2. 确认引用的密码套件中是否包含RSA密钥交换算法（如TLS_RSA_WITH_AES_128_CBC_SHA）。
修复配置命令：
1. 进入系统视图：
system-view
2. 创建或修改SSL服务器策略：
ssl server-policy <策略名>
3. 配置仅支持前向保密的密码套件：
ciphersuite TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
4. 强制使用TLS 1.2及以上版本：
tls-version 1.2
5. 退出并保存：
quit
save force
若设备作为HTTPS管理或SSL VPN网关，需在相应服务视图下引用该策略：
ip https ssl-server-policy <策略名>
或
ssl server-policy <策略名>（在SSL VPN实例下）
验证：
使用openssl s_client -connect <设备IP>:443 -tls1_2检查协商算法，确认无RSA密钥交换。
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
谢谢