Chandler: Windows Server SSL / TLS Configuring secure cipher suites

2020年12月2日星期三

Reference:

狀況：

使用弱點掃描軟體檢查主機後，發現有 TLS 1.0, 1.1, 1.2弱點。

如果有開放 Internet 連線，可用 https://www.ssllabs.com/ssltest/ 檢測。

如果是內部，可用 nmap 檢測。指令 nmap -sV --script ssl-enum-ciphers -p 443 192.168.x.x

處理方式：

TLS 1.0, 1.1關掉的影響，必須 IE11 以上才能連上

TLS 1.2部分關掉可能會影響IE11連上，需考慮清楚並做測試

修改 TLS 及 Ciphers 方法：

建議使用 IIS Crypto 來修改，用圖形介面比較方便。修改後必須重開機才會生效。

修改後測試：

用 https://www.ssllabs.com/ssltest/ 測試，請留意瀏覽器相容性部分。Ex: 若關閉 TLS 1.2 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384會造成 W7, W8 的 IE11 無法連到網頁。

用 nmap 測試

(原始設定)

(修改後測試)

Chandler