CUIC-webpagina wordt niet geladen op IE 11 na de installatie van Microsoft KB3161608/KB3161639

Inleiding

In dit document worden de scenario's beschreven waarin webpagina's van Cisco Unified Intelligence Center (CUIC) niet meer worden geladen in Internet Explorer (IE) na de installatie van Microsoft Knowledge Base-updates (KB).

Het artikel biedt ook mogelijke oplossingen vanuit het perspectief van de CUIC.

Voorwaarden

Vereisten

Cisco raadt u aan kennis te hebben over deze onderwerpen:

• Windows-beheer
• CUC-beheer en -configuratie

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende softwareversies:

• Cisco Unified Intelligence Center 10.5(1)
• Cisco Unified Intelligence Center 10.x
• Cisco Unified Intelligence Center 9.1(x)
• Windows 7 of 8
• Internet Explorer 11

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Scenario

• CUIC versie 9.1(1) of CUIC versie 10.5(1)
• Internet Explorer (IE) 11 onder Windows 7 of Windows 8
• Installeer KB3161639 op Windows 7/8
• Start de CUIC-link op Internet Explorer - http://<CUIC HOST ADDRESS>/cuic

Hiervoor wordt een foutbericht weergegeven zoals in de afbeelding:

Analyse

Microsoft voegde de nieuwe Cipher-suites toe, zoals getoond in de afbeelding, als onderdeel van juni 2016 update rollup KB3161608.

Als onderdeel van KB3161639 worden TLS_DHE_RSA_WITH_AES_128_CBC_SHA en TLS_DHE_RSA_WITH_AES_256_CBC_SHA toegevoegd aan de algoritme-suites en de standaard prioriteitsvolgorde van Cyper-suites wordt gewijzigd in Windows OS.

Als gevolg hiervan, als client machines de bovenstaande updates hebben, hebben ze de neiging om te communiceren met behulp van TLS_DHE_RSA_WITH_AES_128_CBC_SHA met CUIC tomcat server (als TLS_DHE_RSA_WITH_AES_128_CBC_SHA is gedefinieerd in de CUIC tomcat-connector config).

De communicatie met behulp van het algoritme TLS_DHE_RSA_WITH_AES_128_CBC_SHA werkt echter niet. Dit komt door de 1024 bit minimum vereiste voor de Diffie Hellman Exchange (DHE) toetsen die door Microsoft afgedwongen worden om de logjam aanval te repareren.

CUIC tot versie 11.x heeft de Java 6 versies die alleen 768 bit keys ondersteunt. Dit kan leiden tot een storing van de handdruk.

Oplossing

Dit is niet van toepassing op CUIC 11.0(1) waar deze kwestie is opgelost. Voor CUIC versies 9.1(1) en 10.x versies wordt dit opgelost door het open SSL COP bestand dat hier beschikbaar is

Als onderdeel van openssl-cop wordt de ondersteuning van het Diffie-Hellman (DHE) algoritme verwijderd uit de CUIC tomcat-connector door TLS_DHE_RSA_WITH_AES_128_CBC_SHA te verwijderen om logjam-aanval te voorkomen.