O que está envolvido na atualização do SSL 2.0 para o SSL 3.0 no IIS 6?

2

Estou usando um conjunto de testes de segurança do site e ele diz que o SSL 2.0 tem vulnerabilidades conhecidas e eu deveria alterá-lo para o SSL 3.0.

Os meus certificados atuais ainda funcionarão quando eu mudar para o SSL 3.0?

Como faço para mudar? É apenas no IIS ou eu poderia precisar alterar alguma coisa no meu aplicativo da web?

Obrigado

    
por BigOmega 12.03.2010 / 22:29

1 resposta

2

O SSL 2.0 e o SSL 3.0 estão habilitados no IIS 6 por padrão. (O IIS 7, também, para esse assunto - vá em frente!) O cliente e o servidor negociam para chegar à versão do protocolo SSL a ser usada.

Seus certificados ainda funcionarão. A desativação do SSL 2.0 não invalidará seus certificados SSL existentes. Essa é uma coisa do nível de protocolo manipulada pelo IIS e pela pilha de rede do sistema operacional, portanto, nenhuma alteração em seu aplicativo da Web será necessária.

Você pode desabilitar o SSL 2.0 no IIS para que ele não ofereça mais usar essa versão do protocolo durante a negociação; O lado negativo disso é que você não poderá mais se comunicar com navegadores que somente suportam o protocolo SSL 2.0. (Isso também é bom, já que você não estará mais vulnerável ao protocolo SSL 2.0!)

A especificação do protocolo SSL 3.0 existe desde 1996, então o universo de navegadores potenciais que você estará bloqueando do seu site por não suportar o SSL 2.0 deve ser bem pequeno, a menos, é claro, que seu site atenda usuários antigos navegadores da web ...

Informações adicionais, incluindo instruções sobre como editar o registro para desabilitar o SSL 2.0, podem ser encontradas em ID do Suporte Microsoft ID 187498 .

Se você estiver realmente curioso sobre o que acontece durante toda essa negociação de "protocolo", informações e referências adicionais podem ser encontradas em ID do artigo de suporte da Microsoft 299520 .

    
por 12.03.2010 / 23:03