Comment puis-je désactiver le chiffrement TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 dans Apache2?

La suite de chiffrement que vous essayez de supprimer s'appelle ECDHE-RSA-AES256-SHA384 par openssl.

Chaque fois que dans votre liste de chiffrements apparaît AES256 non suivi de GCM, cela signifie que le serveur utilisera AES en mode chiffrement par bloc en chaîne (CBC). Ce chiffrement n'est en aucun cas compromis ou faible (surtout lorsqu'il est utilisé avec une bonne fonction de hachage comme les variantes de SHA-2 que vous avez dans votre liste). Il est simplement moins recommandé que le mode Galois Counter.

Avant de choisir manuellement vos chiffrements, vous devriez lire la page TLS côté serveur de Mozilla pour faire un choix éclairé. Par exemple, Debian 8 n'a que 4 ans et n'a pas la version 1.1 d'openssl.

Une fois que vous avez modifié votre liste de suites de chiffrement comme vous le souhaitez, vous pouvez tester le résultat avec :

openssl ciphers -v 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384'