CipherSpecs angeben

Geben Sie eine CipherSpec an, indem Sie den Parameter SSLCIPH im MQSC-Befehl DEFINE CHANNEL oder im MQSC-Befehl ALTER CHANNEL verwenden.

Einige der CipherSpecs , die Sie mit IBM® WebSphere® MQ verwenden können, sind FIPS-konform. Andere, zum Beispiel NULL_MD5, sind nicht FIPS-konform. In ähnlicher Weise sind einige der FIPS-konformen CipherSpecs auch Suite B-konform, andere jedoch nicht. Alle mit Suite B kompatiblen CipherSpecs sind ebenfalls FIPS-konform. Alle mit Suite B kompatiblen CipherSpecs fallen in zwei Gruppen: 128 Bit (z. B. ECDHE_ECDSA_AES_128_GCM_SHA256) und 192 Bit (z. B. ECDHE_ECDSA_AES_256_GCM_SHA384).

Das folgende Diagramm veranschaulicht die Beziehung zwischen diesen Untergruppen:

Diagramm, das die Beziehung zwischen FIPS-konformen CipherSpecs und Suite B-konformen CipherSpecsdarstellt

Verschlüsselungsspezifikationen, die Sie mit der SSL-und TLS-Unterstützung von IBM WebSphere MQ verwenden können, sind in der folgenden Tabelle aufgelistet. Wenn Sie ein persönliches Zertifikat anfordern, geben Sie eine Schlüsselgröße für das öffentliche und das private Schlüsselpaar an. Die Schlüsselgröße, die während des SSL-Handshakes verwendet wird, entspricht der im Zertifikat hinterlegten Größe, es sei denn, die CipherSpec bestimmt sie (siehe Tabelle).

CipherSpec-Name Verwendetes Protokoll MAC-Algorithmus Verschlüsselungsalgorithmus Verschlüsselungsbits FIPS 1 Suite B mit 128 Bit Suite B mit 192 Bit
NULL_MD5 a SSL 3.0 MD5 -- 0 Nein Nein Nein
NULL_SHA a SSL 3.0 SHA-1 -- 0 Nein Nein Nein
RC4_MD5_EXPORT 2 a SSL 3.0 MD5 RC4 40 Nein Nein Nein
RC4_MD5_US a SSL 3.0 MD5 RC4 128 Nein Nein Nein
RC4_SHA_US a SSL 3.0 SHA-1 RC4 128 Nein Nein Nein
RC2_MD5_EXPORT 2 a SSL 3.0 MD5 RC2 40 Nein Nein Nein
DES_SHA_EXPORT 2 a SSL 3.0 SHA-1 DES 56 Nein Nein Nein
RC4_56_SHA_EXPORT1024 3 b SSL 3.0 SHA-1 RC4 56 Nein Nein Nein
DES_SHA_EXPORT1024 3 b SSL 3.0 SHA-1 DES 56 Nein Nein Nein
TLS_RSA_WITH_AES_128_CBC_SHA a TLS 1.0 SHA-1 AES 128 Ja Nein Nein
TLS_RSA_WITH_AES_256_CBC_SHA 4 a TLS 1.0 SHA-1 AES 256 Ja Nein Nein
TLS_RSA_WITH_DES_CBC_SHA a TLS 1.0 SHA-1 DES 56 Nein5 Nein Nein
FIPS_WITH_DES_CBC_SHA b SSL 3.0 SHA-1 DES 56 Nein6 Nein Nein
TLS_RSA_WITH_AES_128_GCM_SHA256 b TLS 1.2 AEAD AES-128 GCM AES 128 Ja Nein Nein
TLS_RSA_WITH_AES_256_GCM_SHA384 b TLS 1.2 AEAD AES-256 GCM AES 256 Ja Nein Nein
TLS_RSA_WITH_AES_128_CBC_SHA256 b TLS 1.2 SHA-256 AES 128 Ja Nein Nein
TLS_RSA_WITH_AES_256_CBC_SHA256 b TLS 1.2 SHA-256 AES 256 Ja Nein Nein
ECDHE_ECDSA_RC4_128_SHA256 b TLS 1.2 SHA-1 RC4 128 Nein Nein Nein
ECDHE_RSA_RC4_128_SHA256 b TLS 1.2 SHA_1 RC4 128 Nein Nein Nein
ECDHE_ECDSA_AES_128_CBC_SHA256 b TLS 1.2 SHA-256 AES 128 Ja Nein Nein
ECDHE_ECDSA_AES_256_CBC_SHA384 b TLS 1.2 SHA-384 AES 256 Ja Nein Nein
ECDHE_RSA_AES_128_CBC_SHA256 b TLS 1.2 SHA-256 AES 128 Ja Nein Nein
ECDHE_RSA_AES_256_CBC_SHA384 b TLS 1.2 SHA-384 AES 256 Ja Nein Nein
ECDHE_ECDSA_AES_128_GCM_SHA256 b TLS 1.2 AEAD AES-128 GCM AES 128 Ja Ja Nein
ECDHE_ECDSA_AES_256_GCM_SHA384 b TLS 1.2 AEAD AES-256 GCM AES 256 Ja Nein Ja
ECDHE_RSA_AES_128_GCM_SHA256 b TLS 1.2 AEAD AES-128 GCM AES 128 Ja Nein Nein
ECDHE_RSA_AES_256_GCM_SHA384 b TLS 1.2 AEAD AES-256 GCM AES 256 Ja Nein Nein
TLS_RSA_WITH_NULL_SHA256 b TLS 1.2 SHA-256 -- 0 Nein Nein Nein
ECDHE_RSA_NULL_SHA256 b TLS 1.2 SHA-1 -- 0 Nein Nein Nein
ECDHE_ECDSA_NULL_SHA256 b TLS 1.2 SHA-1 -- 0 Nein Nein Nein
TLS_RSA_WITH_NULL_NULL b TLS 1.2 -- -- 0 Nein Nein Nein
TLS_RSA_WITH_RC4_128_SHA256 b TLS 1.2 SHA-1 RC4 128 Nein Nein Nein
Hinweise:
  1. Gibt an, ob die CipherSpec auf einer FIPS-zertifizierten Plattform FIPS-zertifiziert ist. Eine Erläuterung von FIPS finden Sie unter Federal Information Processing Standards (FIPS) .
  2. Die maximale Größe des Handshakeschlüssels beträgt 512 Bit. Hat eines der beim SSL-Handshake ausgetauschten Zertifikate einen Schlüssel mit mehr als 512 Bits, wird ein temporärer 512-Bit-Schlüssel zur Verwendung während des Handshakes generiert.
  3. Die Größe des Handshakeschlüssels beträgt 1024 Bit.
  4. Mithilfe dieser Verschlüsselungsspezifikation (CipherSpec) kann eine Verbindung von WebSphere MQ Explorer zu einem Warteschlangenmanager nicht geschützt werden, es sei denn, für die vom Explorer verwendete JRE gelten die entsprechenden uneingeschränkten Richtliniendateien.
  5. Diese CipherSpec wurde vor dem 19. Mai 2007 FIPS 140-2-zertifiziert.
  6. Diese CipherSpec wurde vor dem 19. Mai 2007 FIPS 140-2-zertifiziert. Der Name FIPS_WITH_DES_CBC_SHA ist historisch und spiegelt die Tatsache wider, dass diese CipherSpec zuvor FIPS-konform war (aber jetzt nicht mehr). Diese CipherSpec ist veraltet und sollte nicht mehr verwendet werden.
  7. Mit dieser CipherSpec können bis zu 32 GB Daten übertragen werden, bevor die Verbindung mit Fehler AMQ9288 beendet wird. Um diesen Fehler zu vermeiden, sollten Sie Triple DES nicht verwenden oder bei Verwendung dieser CipherSpec die Rücksetzung der geheimen Schlüssel ermöglichen.
Plattformunterstützung:
  • a Auf allen unterstützten Plattformen verfügbar.
  • b Nur auf UNIX, Linux®, and Windows -Plattformen verfügbar.