azure - 如何在 Windows Azure(操作系统或网站)中配置完美前向保密

Question

我想将我的网站迁移到 Windows Azure，但需要确保我在所有实例和角色上使用 PFS。 (还有常规网络角色和网站)

如何配置才能使每个部署都以这种方式自动配置？

Answer 1

This excellent article通过 André N. Klingsheim解释了在 Windows Server 和 Windows Azure 上强化 SSL/TLS 配置的详细选项。这包括

• 禁用 SSL
• 启用 TLS
• 更改密码套件优先级

作者另外提供了一个NuGet package以及related source code用于在 Azure 角色启动期间处理这些更新。

如果您想强制执行 (perfect) forward secrecy除了启用它之外，您可能还想禁用所有不支持它的密码套件。查看相关powershell script所有 TLS_RSA_* 套件都需要从 $preferredCipherSuites 中删除。请注意，这将降低与某些(主要是旧版)浏览器/客户端的兼容性。

另请参阅this answer其中包含有关密码套件建议的多个资源。