4.4. Suite di cifratura DH esponenziale modulare e a curva ellittica

Non tutte le implementazioni TLS supportano sia i gruppi Diffie-Hellman esponenziali modulari (MODP) sia quelli a curva ellittica (EC), come richiesto dalla sezione 4.2. Alcune implementazioni sono fortemente limitate nella lunghezza dei valori DH. Quando occorre supportarle, sono RACCOMANDATE, nell'ordine seguente:

DHE a curva ellittica con parametri negoziati appropriatamente, ad esempio la curva da usare, e un algoritmo Message Authentication Code (MAC) più forte di HMAC-SHA1 [RFC5289].
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 [RFC5288], con parametri Diffie-Hellman da 2048 bit.
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256, con parametri da 1024 bit.

Motivazione: sebbene la crittografia a curva ellittica sia ampiamente adottata, in alcune comunità il suo impiego è rimasto limitato per varie ragioni, tra cui la complessità rispetto all'aritmetica modulare e le preoccupazioni storiche sui diritti di proprietà intellettuale, in gran parte ormai risolte [RFC6090]. Esistono suite ECDHE per certificati sia RSA sia ECDSA; pertanto passare a ECDHE non richiede abbandonare i certificati basati su RSA. D'altra parte, due questioni correlate ostacolano l'uso efficace delle suite TLS MODP Diffie-Hellman:

non esistono meccanismi di protocollo standardizzati e largamente implementati per negoziare i gruppi DH o le lunghezze dei parametri supportati da client e server;
molti server scelgono parametri DH di 1024 bit o inferiori;
sono diffuse implementazioni client che rifiutano parametri DH ricevuti se superiori a 1024 bit. Inoltre, varie implementazioni non eseguono una convalida appropriata dei parametri del gruppo e sono vulnerabili agli attacchi citati nella sezione 2.9 di [RFC7457].

Si noti che, con le suite DHE ed ECDHE, la chiave master TLS dipende solo dai parametri Diffie-Hellman e non dalla robustezza del certificato RSA; inoltre, i parametri MODP DH a 1024 bit sono generalmente considerati insufficienti.

Con DH MODP effimero, chi esegue il deployment dovrebbe valutare attentamente il compromesso tra interoperabilità e sicurezza nella configurazione degli endpoint TLS.