.net - Web 检查中的弱 SSL 协议(protocol) TLS v1.0

Question

我正在 Azure 中部署的网站 (.NET) 上运行 HP WebInspect 工具。我遇到了一个关于弱 SSL 协议(protocol) TLS v1.0 的严重问题。(有关以下错误的更多详细信息)。需要什么修复才能消除此问题？

详细信息:

TLS 1.0 被认为是不安全的，因为它缺乏对强密码套件的支持，并且已知受到几个已知漏洞的困扰。它要么使用容易受到偏差攻击的 RC4 密码，要么使用密码 block 链接 (CBC) 模式密码，这为 POODLE(Padding Oracle On Downgraded Legacy Encryption)攻击提供了条件。 NIST 特别出版物 800-52 修订版 1 不再将 TLS 1.0 视为强加密。 TLS 1.0 也不再符合 PCI DSS v3.1 要求。 PCI 认为 TLS 1.0 不足以保护持卡人数据，并已从 2016 年 6 月开始弃用它。更新:PCI DSS 已将迁移到 TLS1.1 或更高版本的截止日期延长至 2018 年 6 月 30 日。

Answer 1

根据你的描述，我用了https://www.ssllabs.com/ssltest/检查 Azure Web Apps 提供的支持的协议(protocol)如下:

此外，我检查了我的 azure web 应用程序，发现它在 TLS 1.2 下，但密码已过时，如下所示:

我假设您是在谈论将 TLS 设置为更高版本或禁用 TLS 1.0。我找到了一个关于How to disable TLS 1.0 on an Azure App Service Web App的官方博客。 , 你可以 Configure TLS用于应用服务环境，但它非常昂贵。

此外，我发现了关于 Disable TLS1.0 的反馈，并且有人评论说您可以通过使用自定义域和应用程序网关在 Azure Web App 上禁用 TLS 1.0，您可以关注详细信息 here .此外，您可以使用 Azure 云服务或 VM 来控制它，而不是 Azure Web 应用程序。