Desabilitando a Renegociação SSL

Question

Precisamos parar de usar a renegociação SSL (insegura) para uma série de sites de comércio eletrônico que fornecemos devido aos regulamentos do PCI.

Alguém sabe das implicações de fazê-lo supondo que não habilitamos a renegociação segura?

O SSL apenas restabeleceria uma conexão quando necessário? Eu suponho que isso aumentaria a carga da CPU, mas haveria outros problemas?

    

Answer 1

Para sites públicos, a renegociação de TLS não é algo que normalmente aconteceria de qualquer maneira, portanto, você não deve ver problemas de desempenho.

Seu uso principal legítimo é para o servidor solicitar um certificado de cliente, em sites corporativos onde o cliente deve ser verificado por certificado. Mas eles não vão lidar com as informações do cartão de crédito dos clientes (a menos que você tenha feito algo terrivelmente errado).