En tant qu’administrateur ArcGIS Server, vous pouvez désigner les protocoles TLS (Secure Sockets Layer) et les algorithmes de chiffrement que ArcGIS Server utilise pour sécuriser les communications. Votre organisation peut être dans l’obligation d’utiliser des protocoles TLS ou des algorithmes de chiffrement spécifiques, ou le serveur Web sur lequel vous déployez ArcGIS Server peut n’autoriser que certains protocoles et algorithmes. Lorsque vous indiquez que ArcGIS Server utilise des protocoles et algorithmes certifiés, vous garantissez la conformité de votre site aux stratégies de sécurité de votre organisation.
Suite à la vulnérabilité POODLE survenue en 2014, ArcGIS Server ne prend plus en charge les protocoles SSL (Secure Sockets Layer) à partir de la version 10.3. Cependant, SSL reste utilisé dans le logiciel pour faire référence aux protocoles TLS.
Protocoles TLS
Par défaut, ArcGIS Server utilise uniquement les protocoles TLSv1.3 et TLSv1.2. Vous pouvez également activer les protocoles TLSv1 et TLSv1.1 en procédant comme indiqué ci-après.
Algorithmes de chiffrement par défaut
ArcGIS Server est configuré par défaut pour utiliser les algorithmes de chiffrement suivants dans l’ordre indiqué ci-dessous :
- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
- TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
- TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
- TLS_RSA_WITH_AES_256_GCM_SHA384
- TLS_RSA_WITH_AES_256_CBC_SHA256
- TLS_RSA_WITH_AES_256_CBC_SHA
- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
- TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
- TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
- TLS_RSA_WITH_AES_128_GCM_SHA256
- TLS_RSA_WITH_AES_128_CBC_SHA256
- TLS_RSA_WITH_AES_128_CBC_SHA
- TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
- TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
- TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
- TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA256
- TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA256
- TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
- TLS_AES_256_GCM_SHA384 (TLSv1.3 uniquement)
- TLS_AES_128_GCM_SHA256 (TLSv1.3 uniquement)
Pour des raisons de sécurisé, plusieurs algorithmes de chiffrement qui étaient activés par défaut dans les versions précédentes sont désactivés. Il est toujours possible de les réactiver si nécessaire pour les clients antérieurs. Consultez la section Référence des suites de chiffrement ci-dessous pour obtenir la liste complète des algorithmes pris en charge.
Utilisez le répertoire administrateur ArcGIS Server pour désigner les protocoles TLS et les algorithmes de chiffrement que votre site utilisera.
- Ouvrez le répertoire administrateur ArcGIS Server et connectez-vous en tant qu’administrateur de votre site.
L'URL est au format suivant : https://gisserver.domain.com:6443/arcgis/admin.
- Cliquez sur Sécurité > Config > Update.
- Dans la zone de texte Protocoles SSL, désignez les protocoles à utiliser. Si vous désignez plusieurs protocoles, séparez-les par une virgule, par exemple TLSv1.2, TLSv1.1.
Remarque :
Assurez-vous que le serveur Web hébergeant Web Adaptor peut parfaitement communiquer via les protocoles que vous activez. Si vous utilisez une instance Java Web Adaptor, le serveur web hébergeant Web Adaptor doit utiliser Java 8 ou version ultérieure.
- Dans la zone de texte Suites de chiffrement, désignez les algorithmes de chiffrement à utiliser. Si vous désignez plusieurs algorithmes de chiffrement, séparez-les par une virgule, par exemple TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_CBC_SHA.
- Cliquez sur Mettre à jour.
Une erreur est renvoyée si une suite de chiffrement ou un protocole non valide est indiqué.
Référence des suites de chiffrement
ArcGIS Server prend en charge les algorithmes suivants :
| ID de chiffrement | Nom | Echange de clés | Algorithme d'authentification | Algorithme de chiffrement | Bits | Algorithme de hachage |
|---|---|---|---|---|---|---|
| 0x00C030 | TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | ECDH | RSA | AES_256_GCM | 256 | SHA384 |
| 0x00C028 | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 | ECDH | RSA | AES_256_CBC | 256 | SHA384 |
| 0x00C014 | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA | ECDH | RSA | AES_256_CBC | 256 | SHA |
| 0x00009F | TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 | DH | RSA | AES_256_GCM | 256 | SHA384 |
| 0x00006B | TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 | DH | RSA | AES_256_CBC | 256 | SHA256 |
| 0x000039 | TLS_DHE_RSA_WITH_AES_256_CBC_SHA | DH | RSA | AES_256_CBC | 256 | SHA |
| 0x00009D | TLS_RSA_WITH_AES_256_GCM_SHA384 | RSA | RSA | AES_256_GCM | 256 | SHA384 |
| 0x00003D | TLS_RSA_WITH_AES_256_CBC_SHA256 | RSA | RSA | AES_256_CBC | 256 | SHA256 |
| 0x000035 | TLS_RSA_WITH_AES_256_CBC_SHA | RSA | RSA | AES_256_CBC | 256 | SHA |
| 0x00C02F | TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 | ECDH | RSA | AES_128_GCM | 128 | SHA256 |
| 0x00C027 | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 | ECDH | RSA | AES_128_CBC | 128 | SHA256 |
| 0x00C013 | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA | ECDH | RSA | AES_128_CBC | 128 | SHA |
| 0x00009E | TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 | DH | RSA | AES_128_GCM | 128 | SHA256 |
| 0x000067 | TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 | DH | RSA | AES_128_CBC | 128 | SHA256 |
| 0x000033 | TLS_DHE_RSA_WITH_AES_128_CBC_SHA | DH | RSA | AES_128_CBC | 128 | SHA |
| 0x00009C | TLS_RSA_WITH_AES_128_GCM_SHA256 | RSA | RSA | AES_128_GCM | 128 | SHA256 |
| 0x00003C | TLS_RSA_WITH_AES_128_CBC_SHA256 | RSA | RSA | AES_128_CBC | 128 | SHA256 |
| 0x00002F | TLS_RSA_WITH_AES_128_CBC_SHA | RSA | RSA | AES_128_CBC | 128 | SHA |
| 0x00C012 | TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA | ECDH | RSA | 3DES_EDE_CBC | 168 | SHA |
| 0x000016 | SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA | DH | RSA | 3DES_EDE_CBC | 168 | SHA |
| 0x00000A | SSL_RSA_WITH_3DES_EDE_CBC_SHA | RSA | RSA | 3DES_EDE_CBC | 168 | SHA |
| 0x00C02C | TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 | ECDH | ECDSA | AES_256_GCM | 256 | SHA384 |
| 0x00C024 | TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 | ECDH | ECDSA | AES_256_CBC | 256 | SHA384 |
| 0x00C00A | TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA | ECDH | ECDSA | AES_256_CBC | 256 | SHA |
| 0x00C02B | TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 | ECDH | ECDSA | AES_128_GCM | 128 | SHA256 |
| 0x00C023 | TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 | ECDH | ECDSA | AES_128_CBC | 128 | SHA256 |
| 0x00C009 | TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA | ECDH | ECDSA | AES_128_CBC | 128 | SHA |
| 0x00C008 | TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA | ECDH | ECDSA | 3DES_EDE_CBC | 168 | SHA |
| 0x1302 | TLS_AES_256_GCM_SHA384 | - | - | AES_256_GCM | 256 | SHA384 |
| 0x1301 | TLS_AES_128_GCM_SHA256 | - | - | AES_128_GCM | 128 | SHA256 |
Terminologie
Les termes suivants sont utilisés dans la table ci-dessus :
- ECDH : Elliptic-Curve Diffie-Hellman
- DH : Diffie-Hellman
- RSA : Rivest, Shamir, Adleman
- ECDSA : Elliptic Curve Digital Signature Algorithm
- AES : Advanced Encryption Standard
- GCM : Galois/Counter Mode (mode d’opération de chiffrement par bloc en cryptographie)
- CBC : Cipher Block Chaining
- 3DES : Triple Data Encryption Algorithm
- SHA : Secure Hashing Algorithm
Vous avez un commentaire à formuler concernant cette rubrique ?