Удаленная служба поддерживает использование SSL-шифров средней прочности в сканировании PCI

Question

Я получил эту ошибку, когда мой сервер был проверен на соответствие PCI. Мне было интересно, может ли это быть, потому что я отключил iptables. Я не хочу просить их отсканировать его снова, пока я не уверен, что он пройдет. Мой первый вопрос: есть ли способ отсканировать это сам? Мой другой вопрос заключается в том, что iptables отключается от реальной проблемы?

Ниже приведены лишь несколько ошибок, я получаю:

• TCP 443 HTTPS - Удаленная служба поддерживает использование слабых SSL шифров
• TCP 465 ДРУ - Удаленная служба принимает соединения зашифрованы с использованием SSL 2.0
• TCP 993 IMAPS - дистанционные сервисы шифрует трафик, используя протокол с известными слабостями
• TCP 995 POP3s - Удаленная служба принимает соединение зашифровано с использованием SSL 2.0

Спасибо за ваше время.

Answer 1

Ошибки не имеют ничего общего с iptables - они указывают, что выделенные службы настроены на поддержку SSL слабым или небезопасным способом.

Однако, если вы не собираетесь предоставлять почтовые службы внешнему миру, вы должны отключить службы SMTPS, IMAPS и POP3S, работающие на портах 465, 993 и 995 соответственно (или блокируя их с помощью iptables).

Кроме того, предполагая, что вы, , сделаете, намерены предоставить услуги HTTPS, вам необходимо исправить конфигурацию SSL на веб-сервере, который вы слушаете. Вы хотите настроить его для поддержки только соединений TLS 1.0 и только сильных шифров. Для справки, ServerFault - это правильный сайт.

Answer 2

Если вы используете Apache, вам нужно настроить некоторые параметры в файле ssl.conf. Важными являются SSLProtocol и SSLCipherSuite. Следующие настройки работали для меня, но YMMV. Возможно, вам придется добавить их в контейнер VirtualHost для своего сайта, а не просто отрегулировать существующие в контейнере по умолчанию.

SSLProtocol -ALL +SSLv3 +TLSv1 
SSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:RC4+RSA:!MEDIUM:+HIGH 

Попробуйте эти и затем использовать один из инструментов сканирования ниже, чтобы сделать бесплатное сканирование, чтобы увидеть, что шифрует ваш сайт делает доступным ...

https://www.ssllabs.com/ssldb/index.html

http://www.serversniff.net/content.php?do=ssl

http://www.sslshopper.com/ssl-checker.html