azure - 保护 Azure WebApp 免受 BEAST 攻击

Question

我刚刚在我的 Azure Web 应用程序上安装了 SSL 证书。我已使用可用的 Symantec SSL 检查器工具检查安装是否正确 here .

在结果中我可以读到

BEAST This server is vulnerable to a BEAST attack. Make sure you have the TLSv1.2 protocol enabled on your server. Disable the RC4, MD5, and DES algorithms. Contact your web server vendor for assistance.

我如何在 Azure 门户中执行此操作？

更新:我也使用 this website 检查过这个.它还确认该漏洞并未在服务器端得到缓解。

Answer 1

BEAST is a client-side vulnerability.是的，TLS 1.0 已经过时而且严重老化，但在 Multi-Tenancy 服务中，仍然保留它是有意义的。你想要破坏最少的人，是的，人们仍然像你不相信的那样握手 TLS 1.0。

也就是说，如果您准备好为您的部署终止 TLS 1.0，只需托管在 App Service Environment 中即可。 .

Disable TLS 1.0

A recurring question from customers, especially customers who are dealing with PCI compliance audits, is how to explicitly disable TLS 1.0 for their apps.

TLS 1.0 can be disabled through the following clusterSettings entry:

"clusterSettings": [
    {
        "name": "DisableTls1.0",
        "value": "1"
    }
],