IIS 6.0上的pci合规性

Modified on: Mon, 26 Aug 2019 02:40:02 +0800

我的网站刚刚通过了PCI合规检查 - 该报告称该网站支持弱密码。我以为我已经通过关闭网络服务器上的SSL 2.0来禁用它。 (如果我告诉浏览器只使用SSL 2.0,它拒绝加载网页)

我需要禁用或检查其他任何内容吗? (这是一个Web服务器场,我需要查看负载均衡器上的任何内容 - 顺便提一下,LB应该只是传递数据,加密/解密都是在Web服务器上完成的)

Windows Server 2003,IIS 6.0,ASP.NET 2.0网站。

---更新---

通过GregD提供的链接后,我解决了大部分问题。我仍然遇到证书不受信任的问题。 SSL实验室网站有助于提供一些关于为什么会这样的提示(但在这个问题上不是很明确):

  

有很多原因
  证书可能不受信任:

  
  

      
  • 在激活日期(日期)
  • 之前使用   
  • 在失效日期(日期)
  • 之后使用   
  • 证书主机名与站点(主机名和站点匹配)
  • 不匹配   
  • 它已被撤销(我怎么说?)
  •   
  • 它是自签名的(由verisign提供)
  •   
  • 发行人不是众所周知的证书颁发机构(是否足够知名?)
  •   
  • 证书链不完整(我怎么说?)
  •   

Firefox似乎可以使用证书,在地址栏上放置一个漂亮的绿色区域。

最佳答案

仅仅关闭SSL 2.0还有一点点。您还必须通过 MS KB禁用弱加密算法。您的PCI扫描应该指出它的具体内容。

您可以使用https://www.ssllabs.com/ssldb/等网站index.html,用于测试您的SSL证书。

作者:GregD

相关问答

添加新评论