A página da Web do CUIC não carrega no IE 11 após a instalação do Microsoft KB3161608/KB3161639

Introdução

Este documento descreve os cenários em que as páginas da Web do Cisco Unified Intelligence Center (CUIC) param de ser carregadas no Internet Explorer (IE) após a instalação das atualizações da Base de conhecimento Microsoft (KB).

O artigo também oferece possíveis soluções alternativas/soluções da perspectiva do CUIC.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento sobre estes tópicos:

• Administração do Windows
• Administração e configuração do CUIC

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software:

• Cisco Unified Intelligence Center 10.5(1)
• Cisco Unified Intelligence Center 10.x
• Cisco Unified Intelligence Center 9.1(x)
• Windows 7 ou 8
• Internet Explorer 11

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Cenário

• CUIC versão 9.1(1) ou CUIC versão 10.5(1)
• Internet Explorer (IE) 11 no Windows 7 ou no Windows 8
• Instalar o KB3161639 no Windows 7/8
• Inicie o link CUIC no Internet Explorer - http://<CUIC HOST ADDRESS>/cuic

Isso exibe a mensagem de erro mostrada na imagem:

Análise

A Microsoft adicionou os novos conjuntos de cifras, como mostrado na imagem, como parte do pacote cumulativo de atualizações KB3161608 de junho de 2016.

Como parte do KB3161639, TLS_DHE_RSA_WITH_AES_128_CBC_SHA e TLS_DHE_RSA_WITH_AES_256_CBC_SHA são adicionados aos pacotes de codificação e a ordem de prioridade padrão dos pacotes de codificação é alterada no sistema operacional Windows.

Por causa disso, se as máquinas cliente tiverem as atualizações acima, elas tendem a se comunicar usando TLS_DHE_RSA_WITH_AES_128_CBC_SHA com o servidor tomcat CUIC (como TLS_DHE_RSA_WITH_AES_128_CBC_SHA é definido na configuração do conector tomcat CUIC).

No entanto, a comunicação usando a cifra TLS_DHE_RSA_WITH_AES_128_CBC_SHA não funciona. Isso se deve ao requisito mínimo de 1024 bits para as chaves Diffie Hellman Exchange (DHE) impostas pela Microsoft para corrigir o ataque de bloqueio de log.

O CUIC até a versão 11.x tem as versões Java 6 que suportam apenas chaves de 768 bits. Assim, pode causar uma falha de handshake.

Solução

Isso não se aplica ao CUIC 11.0(1) onde esse problema é resolvido. Para as versões 9.1(1) e 10.x do CUIC, isso é resolvido pelo arquivo COP SSL aberto disponível aqui

Como parte do comando openssl cop, o suporte à cifra Diffie-Hellman (DHE) é removido do conector tomcat CUIC pela remoção de TLS_DHE_RSA_WITH_AES_128_CBC_SHA para evitar o ataque de bloqueio.