什么定义了密码等级？

Question

我一直在寻找确切定义不同加密“密码等级”的内容 - 例如SSL和TLS中使用的那些，但是却找不到在它们之间划线的特定资源。

什么定义了LOW，MEDIUM和STRONG密码？

Answer 1

有很多因素会导致密码套件的安全级别（这个术语很少使用等级）。涉及许多算法，例如，用于密钥交换的不同算法（RSA或Diffie-Hellman），用于机密性部分的其他算法（AES，RC4等）以及用于消息认证的更多算法。除SuiteB profile中的密码组外，我没有统一的分类。在GnuTLS中，我们还有一个分类based on the long term key sizes。

Answer 2

我认为这是特定于供应商的。您使用的是哪个SSL供应商？

• F5在 this chart （截至2014年11月的死链接）中为其负载均衡器定义了密码等级。

• Apache在mod_ssl（source）的文档中定义了“密码套件”。

• Stunnel没有密码等级，但允许您提供允许的密码列表（source）。

虽然人们普遍认为DES很弱而且AES-256很强，但它们都有些不同。

Answer 3

Openssl在密码字符串中使用这些命名：

LOW     “低”加密密码套件，目前使用64或56位加密算法但不包括导出密码套件。

MEDIUM     “中”加密密码套件，目前其中一些使用128位加密。

HIGH     “高”加密密码套件。这当前意味着密钥长度大于128位的密钥长度，以及一些具有128位密钥的密码套件。

http://wiki.opensslfoundation.com/index.php/Manual:Ciphers%281%29