La page Web CUIC ne se charge pas sur IE 11 après l'installation de Microsoft KB3161608/KB3161639

Introduction

Ce document décrit les scénarios dans lesquels les pages Web Cisco Unified Intelligence Center (CUIC) cessent de se charger sur Internet Explorer (IE) après l'installation des mises à jour de la Base de connaissances Microsoft (Ko).

L'article offre également des solutions de contournement possibles du point de vue du CUIC.

Conditions préalables

Exigences

Cisco vous recommande d'avoir des connaissances sur les sujets suivants :

• Administration de Windows
• Administration et configuration CUIC

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de logiciel suivantes :

• Cisco Unified Intelligence Center 10.5(1)
• Cisco Unified Intelligence Center 10.x
• Cisco Unified Intelligence Center 9.1(x)
• Windows 7 ou 8
• Internet Explorer 11

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Scénario

• CUIC 9.1(1) ou CUIC 10.5(1)
• Internet Explorer (IE) 11 sous Windows 7 ou Windows 8
• Installer KB3161639 sous Windows 7/8
• Lancer le lien CUIC sur Internet Explorer - http://<ADRESSE D’HÔTE CUIC>/cuic

Le message d'erreur suivant s'affiche dans l'image :

Analyse

Microsoft a ajouté les nouvelles suites de chiffrement, comme illustré dans l'image, dans le cadre du correctif cumulatif de juin 2016 KB3161608.

Dans le cadre de KB3161639, TLS_DHE_RSA_WITH_AES_128_CBC_SHA et TLS_DHE_RSA_WITH_AES_256_CBC_SHA sont ajoutés aux suites de chiffrement et l'ordre de priorité par défaut des suites de chiffrement est modifié dans le système d'exploitation Windows.

De ce fait, si les machines clientes ont les mises à jour ci-dessus, elles ont tendance à communiquer en utilisant TLS_DHE_RSA_WITH_AES_128_CBC_SHA avec le serveur tomcat CUIC (comme TLS_DHE_RSA_WITH_AES_128_CBC_SHA est défini dans sa configuration de connecteur tomcat CUIC).

Cependant, la communication utilisant le chiffrement TLS_DHE_RSA_WITH_AES_128_CBC_SHA ne fonctionne pas. Cela est dû à la configuration minimale de 1024 bits requise pour les clés Diffie Hellman Exchange (DHE) imposée par Microsoft pour résoudre l'attaque de bourrage de journal.

CUIC jusqu'à la version 11.x dispose des versions Java 6 qui ne prennent en charge que les clés 768 bits. Par conséquent, il peut provoquer un échec de connexion.

Solution

Cela ne s'applique pas à la CUIC 11.0(1) lorsque ce problème est résolu. Pour les versions 9.1(1) et 10.x de CUIC, ceci est résolu par le fichier ouvert SSL COP disponible ici

Dans le cadre de openssl cop, la prise en charge du chiffrement Diffie-Hellman (DHE) est supprimée du connecteur tomcat CUIC en supprimant TLS_DHE_RSA_WITH_AES_128_CBC_SHA afin d'empêcher les attaques de bourrage de journal.