在 07/2016 中启用/禁用的 apache + nginx ssl 密码

Question

一方面，我想禁用尽可能多的(弱)密码，但另一方面又不想排除太多用户。

所以我读了很多东西，看到了很多例子。有些已经过时了，有些看起来不对，有些看起来还可以。

我终于想出了这个(Apache 2.4):

SSLCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA

sslscan的结果是

Preferred TLSv1.2  256 bits  ECDHE-RSA-AES256-GCM-SHA384   Curve P-256 DHE 256
Accepted  TLSv1.2  256 bits  ECDHE-RSA-AES256-SHA384       Curve P-256 DHE 256
Accepted  TLSv1.2  256 bits  DHE-RSA-AES256-GCM-SHA384     DHE 2048 bits
Accepted  TLSv1.2  256 bits  DHE-RSA-AES256-SHA            DHE 2048 bits
Accepted  TLSv1.2  256 bits  ECDHE-RSA-AES256-SHA          Curve P-256 DHE 256
Accepted  TLSv1.2  128 bits  ECDHE-RSA-AES128-SHA          Curve P-256 DHE 256
Preferred TLSv1.1  256 bits  DHE-RSA-AES256-SHA            DHE 2048 bits
Accepted  TLSv1.1  256 bits  ECDHE-RSA-AES256-SHA          Curve P-256 DHE 256
Accepted  TLSv1.1  128 bits  ECDHE-RSA-AES128-SHA          Curve P-256 DHE 256
Preferred TLSv1.0  256 bits  DHE-RSA-AES256-SHA            DHE 2048 bits
Accepted  TLSv1.0  256 bits  ECDHE-RSA-AES256-SHA          Curve P-256 DHE 256
Accepted  TLSv1.0  128 bits  ECDHE-RSA-AES128-SHA          Curve P-256 DHE 256

我们网站的 Qualys SSL 扫描结果是 A+。据我所知，我们的网站只有非常旧的操作系统/浏览器组合才会出现问题。

问题 1:我是否应该启用以上密码？如果是，为什么？

问题 2:我是否应该禁用密码，我已经在我的列表中了？如果是，为什么？

谢谢，

比约恩

Answer 1

这种权衡是您需要根据您的目标客户自行评估的。

我们也有 A+ 评级，唯一不支持的浏览器是 IE 6 和 Java 6u45 客户端。

将您的安全性与流行的社交网络和银行之类的安全性进行比较是一个良好的开端，但调整由您决定。

检查这个generator from Mozilla用于标准的现代、中级和旧配置。