Używanie protokołu SSLv3 w usługach IIS 6.0

Question

Niedawno otrzymałem powiadomienie z usługi McAfee (która wcześniej nazywała się HackerSafe), że moja witryna używa protokołu SSLv2 i powinna używać protokołu SSLv3. Nie wiem nic o wersjach SSL. Moja witryna korzysta z IIS 6.0, czy jest gdzieś ustawienie włączania SSLv3 lub czy muszę coś zainstalować, aby to się stało? Czy są też jakieś wady przy korzystaniu tylko z SSLv3? Czy istnieją przeglądarki, które mogą korzystać tylko z wersji 2?

Answer 1

Firma Microsoft opublikowała artykuł na temat wyłączania protokołu SSLv3 w języku KB, oczywiście w tym samym miejscu, w którym można go włączyć. http://support.microsoft.com/kb/187498/en-us

Answer 2

Wymieniona w odpowiedzi TravisO odpowiedź Microsoft KB Article jest pomocna jako odniesienie ogólne. Kiedyś informacje z tego artykułu oraz informacji zgromadzonych od ServerSniff.net za SSL analysis tool

Ponadto można skopiować i wkleić poniższy fragment do pliku reg, aby szybko wyłączyć SSLv2 na farmie internetowej:

Windows Registry Editor Version 5.00 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server] 
"Enabled"=dword:00000000 

W odniesieniu do wsparcia dla przeglądarki SSLv3, następujące informacje powinny pomóc (zaczerpnięte z McAfee skanowania Alert):

W programie Internet Explorer 7, domyślne ustawienia protokołu HTTPS są zmieniane na wyłącz słabszy protokół SSLv2 i , aby włączyć silniejszy protokół TLSv1. Domyślnie użytkownicy IE7 będą tylko negocjować połączenia HTTPS przy użyciu SSLv3 lub TLSv1. Mozilla Firefox to , która ma opuścić wsparcie dla SSLv2 w nadchodzących wersjach .

Ponieważ prawie wszystkie współczesne przeglądarki obsługują SSLv3, wyłączenie obsługi słabszej metody SSL powinno mieć minimalny wpływ . Poniższe przeglądarki obsługują SSLv3:

• Internet Explorer 5.5 lub nowszy (PC)
• Internet Explorer 5.0 lub nowszy (Mac)
• Netscape 2.0 (wewnętrzna) lub wyższe (PC/Mac)
• Firefox 0.8 lub nowszy (PC/Mac/Linux)
• Mozilla 1.7 lub wyższa (PC/Mac/Linux)
• Camino 0.8 lub nowszy (Mac)
• Safari 1.0 lub nowsza (Mac)
• Opera 1.7 lub wyższa (PC/Mac)
• OmniWeb 3.0 lub nowszy (Mac)
• Konqueror 2.0 lub nowszy (Linux)

Answer 3

Jeśli szukasz przy ustalaniu tego prawdopodobnie będziesz także chciał naprawić słabe szyfry, ponieważ większość skanerów będzie narzekać na oba. To jest Microsoft KB245030. Ogólnie każda przeglądarka obsługująca SSLv3 obsługuje również nowsze i silniejsze szyfry niż te wyłączone przez skrypty przy tym łączu.