配置PCIDSS合规
为满足PCI安全标准委员会给出的PCIDSS标准,我们需要对我们的SSL配置进行更改或补充,禁止掉TLSv1及以下版本的不安全协仪:
Apache
Apache需要我们在证书配置的SSLEngine on参数下面添加或者修改以下代码
SSLProtocol all -SSLv2 -SSLv3 -TLSv1
SSLCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA
Nginx
Nginx需要我们在证书配置的ssl on;参数下面添加或者修改以下代码
ssl_protocols TLSv1.1 TLSv1.2;
ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA;
Tomcat
Tomcat需要我们修改或添加以下证书配置参数
注意:tomcat7或jdk1.7以上版本才支持TLSv1.1 TLSv1.2
<Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol"
maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
keystoreFile="keystore/SSL.jks" keystorePass="证书密码"
clientAuth="false" sslEnabledProtocols = "TLSv1.1,TLSv1.2"
/>
来源：景安
