# Explicador de cipher string do F5 > Cole uma cipher string do F5 BIG-IP e veja cada palavra-chave e operador explicado, além de uma análise de segurança, tudo no seu navegador. - Tool: https://ronutz.com/pt-BR/tools/f5-cipher-string-expander - Family: TLS e transporte --- ## O que faz Cole uma cipher string do F5 BIG-IP e a ferramenta explica cada palavra-chave e operador nela e sinaliza as escolhas fracas ou obsoletas. Ela lê a string, o valor do campo `cipher` em uma cipher rule ou perfil SSL, e transforma sua sintaxe compacta em uma explicação em linguagem clara do que ela seleciona e em que ordem. Ela roda inteiramente no seu navegador. ## Como uma cipher string do F5 é construída Uma cipher string do BIG-IP é uma lista ordenada de conjuntos de cifras, separados por dois-pontos, vírgula ou espaço em branco, e a ordem é significativa porque expressa a preferência do servidor. Dentro de um conjunto, as palavras-chave são combinadas com `+`, então `ECDHE+AES-GCM` significa as cifras que são ao mesmo tempo ECDHE e AES-GCM. As palavras-chave nomeiam as partes de uma suíte: a versão do protocolo, a troca de chaves, a autenticação, a cifra e o MAC. `DEFAULT` representa o conjunto padrão embutido da F5, um ponto de partida comum. ## Os operadores, que são a parte sutil Um conjunto pode carregar um operador à frente, e a diferença entre eles importa: - **`!`** exclui permanentemente as cifras correspondentes; uma vez excluídas dessa forma, elas não podem ser readicionadas por um termo posterior. - **`-`** remove as cifras correspondentes, mas, ao contrário do `!`, um termo posterior pode readicioná-las. - **`+`** não adiciona; ele move as cifras correspondentes para o fim, baixando sua prioridade. E `@STRENGTH` reordena a lista inteira por comprimento de chave. Confundir `!` com `-`, ou esquecer que `+` reordena em vez de adicionar, é uma fonte comum de uma cipher string que não faz o que seu autor pretendia, que é exatamente o que a ferramenta torna visível. ## A análise de segurança, e um limite honesto A ferramenta sinaliza elementos fracos e obsoletos, como cifras de grau de exportação, RC4 ou 3DES e versões de protocolo obsoletas, para que uma string arriscada se destaque. Uma coisa que ela deliberadamente não faz: ela não reproduz a lista final ordenada exata de suítes de cifra que um BIG-IP específico produziria, porque isso depende da tabela de cifras da versão de software específica no equipamento. Ela explica a string; não substitui o equipamento. ## Como usar Cole uma cipher string de uma cipher rule ou de um perfil SSL e leia cada palavra-chave e operador explicado, com as escolhas fracas sinalizadas. A análise é determinística e local. ## Standards and references - [F5 BIG-IP SSL Administration: Traffic Management](https://techdocs.f5.com/kb/en-us/products/big-ip_ltm/manuals/product/bigip-ssl-administration-13-0-0/4.html) - cipher string keywords, the DEFAULT set, and tmm --clientciphers - [F5 DevCentral: Cipher Rules and Groups in BIG-IP v13](https://community.f5.com/kb/technicalarticles/cipher-rules-and-groups-in-big-ip-v13/279555) - cipher rules and groups, boolean operators, and the pre-built rules - [F5: Configuring a Custom Cipher String for SSL Negotiation](https://techdocs.f5.com/kb/en-us/products/big-ip_ltm/manuals/product/ltm-custom-cipher-ssl-negotiation-configuration-13-0-0/1.html) - building a cipher string from rules and groups, and F5 hardening recommendations ## Related reading - [Cipher Rules, Cipher Groups do F5 e Por Que a Expansão É Específica de Versão](https://ronutz.com/pt-BR/learn/f5-cipher-rules-and-groups.md): O BIG-IP v13 substituiu as cipher strings editadas à mão por cipher rules e cipher groups, um modelo mais legível onde as rules guardam strings e os groups as combinam com permitir, restringir e excluir. A lista final e ordenada de suites ainda vem da base de cifras específica de cada TMOS, e é por isso que a mesma string expande de forma diferente entre versões. - [Ciphers TLS 1.3 e TLS 1.2 no BIG-IP](https://ronutz.com/pt-BR/learn/f5-tls13-vs-tls12-ciphers.md): O TLS 1.3 mudou o que é uma cipher suite, e por isso o BIG-IP trata 1.3 e 1.2 de formas diferentes. Uma suite 1.2 agrupa troca de chaves, autenticação e a cifra em massa; uma suite 1.3 nomeia apenas a cifra em massa e o hash. Saber disso explica por que keywords antigas de cipher string não direcionam o 1.3. - [Impondo Forward Secrecy no F5 BIG-IP](https://ronutz.com/pt-BR/learn/enforcing-forward-secrecy-on-f5.md): Forward secrecy não é uma caixa de seleção no BIG-IP; é uma consequência da configuração de cifras num perfil SSL. Este artigo mostra como as cipher rules e os cipher groups do BIG-IP controlam se o conjunto negociado usa uma troca de chaves efêmera (ECDHE/DHE) ou RSA estático, por que a preferência de cifra do lado servidor importa, e como o TLS 1.3 remove a escolha. Ele encerra com como a Fortinet e o Netskope impõem a mesma propriedade. - [Lendo uma Cipher String do F5](https://ronutz.com/pt-BR/learn/f5-cipher-string-syntax.md): Uma cipher string do F5 é uma lista ordenada de conjuntos de cifras separados por dois-pontos, onde cada conjunto combina palavras-chave com um sinal de mais e um operador inicial pode excluir, remover ou rebaixar a prioridade. Quando você consegue ler a gramática, uma string densa como ECDHE:RSA:!SSLv3:@STRENGTH torna-se um conjunto claro de instruções. - [Ordenação e negociação de ciphers no BIG-IP](https://ronutz.com/pt-BR/learn/f5-cipher-ordering-and-negotiation.md): Uma cipher string expandida é uma lista ordenada, e a ordem não é cosmética: com preferência de servidor, o BIG-IP escolhe o primeiro cipher da sua própria lista que o cliente também suporta. Isso torna a posição de cada cipher um controle de segurança real, que é por que a expansão os mostra em ordem. - [Quais Palavras-Chave de Cifra TLS São Seguras e Quais Não São](https://ronutz.com/pt-BR/learn/tls-cipher-security-keywords.md): A diferença entre uma cipher string robusta e uma perigosa é um punhado de palavras-chave. A forward secrecy vem de ECDHE e DHE; os riscos vêm de RC4, 3DES, SSLv3, EXPORT, NULL e DH anônimo. Conhecer a lista curta permite ler a segurança de uma cipher string num relance. - [TLS pós-quântico no BIG-IP: híbridos ML-KEM do 17.5 ao 21.1](https://ronutz.com/pt-BR/learn/bigip-post-quantum-tls.md): A história pós-quântica do BIG-IP é uma linhagem: a troca de chaves híbrida X25519MLKEM768 chegou na era do 17.5.0, e o 21.1.0 completa a família de curvas NIST com SecP256r1MLKEM768 e SecP384r1MLKEM1024, no TLS do lado do cliente e do lado do servidor, conforme o FIPS 203. Ao redor, o 21.1 torna o lado clássico mais rápido e mais estrito: aceleração de hardware do X25519 via Intel QAT ligada por padrão, perfis SSL pai com padrão TLS 1.3 e DTLS 1.2, nonce em requisições OCSP e melhorias no C3D. Aqui está o que cada peça significa e como implantar sem quebrar um único cliente legado.