Использование SSLv3 в IIS 6.0
Недавно я получил уведомление от службы McAfee (которая раньше называлась HackerSafe) о том, что мой веб-сайт использует SSLv2 и должен использовать SSLv3. Я ничего не знаю о версиях SSL. На моем сайте используется IIS 6.0, есть ли где-нибудь параметр, позволяющий включить SSLv3, или мне нужно что-то установить, чтобы это произошло? Кроме того, есть ли недостатки в использовании только SSLv3? Есть ли браузеры, которые могут использовать только v2?
Ответы 3
У Microsoft есть статья в базе знаний об отключении SSLv3, очевидно, она там же, где и включена. http://support.microsoft.com/kb/187498/en-us
Статья базы знаний Майкрософт, упомянутый в ответе TravisO, полезен для общей справки. Я использовал информацию из этой статьи вместе с информацией, собранной из Инструмент анализа SSL ServerSniff.net.
Кроме того, вы можете скопировать и вставить следующий фрагмент в файл .reg, чтобы быстро отключить SSLv2 на веб-ферме:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server]
"Enabled"=dword:00000000
Что касается поддержки браузером SSLv3, следующая информация должна помочь (взята из McAfee Scan Alert):
In Internet Explorer 7, the default HTTPS protocol settings are changed to disable the weaker SSLv2 protocol and to enable the stronger TLSv1 protocol. By default, IE7 users will only negotiate HTTPS connections using SSLv3 or TLSv1. Mozilla Firefox is expected to drop support for SSLv2 in its upcoming versions.
As almost all modern browsers support SSLv3, disabling support for the weaker SSL method should have minimal impact. The following browsers support SSLv3:
- Internet Explorer 5.5 or higher (PC)
- Internet Explorer 5.0 or higher (Mac)
- Netscape 2.0 (Domestic) or higher (PC/Mac)
- Firefox 0.8 or higher (PC/Mac/Linux)
- Mozilla 1.7 or higher (PC/Mac/Linux)
- Camino 0.8 or higher (Mac)
- Safari 1.0 or higher (Mac)
- Opera 1.7 or higher (PC/Mac)
- Omniweb 3.0 or higher (Mac)
- Konqueror 2.0 or higher (Linux)
Если вы хотите исправить это, вам, вероятно, также понадобится исправить слабые шифры, поскольку большинство сканеров будут жаловаться на оба. Это Microsoft KB245030. Как правило, любой браузер, поддерживающий SSLv3, также поддерживает более новые и более надежные шифры, чем те, которые отключены скриптами по этой ссылке.
Я знаю, что ServerFault не существовал в то время, когда об этом спросили, но я думаю, что сейчас он принадлежит ему.