站点部署HTTPS目前来看已经是大势所趋不可抵挡了,所以现在有很多博客网站都纷纷升级到 HTTPS,但是在部署 HTTPS 的时候,或多或少都可能会存在一些问题,那么我们就很有必要借助第三方平台(如myssl.com)来检测看看我们的评级是否达到 A+,PCI DSS 是否合规,ATS 是否合规等。今天我们重点来说一说 PCI DSS 不合规的问题。
根据上面的介绍可知,从 2018 年 6 月 30 号起已经开始禁用早期 SSL/TLS,也就是禁用 TLSv1.0。换句话就是说如果站点还支持 TLSv1.0 加密协议的话就会被判定为 PCI DSS 不合规。如下图所示:
现在网络上很多部署 HTTPS 的教程里面都还是用到 TLSv1.0 解密协议,一般给出的 ssl_protocols 配置都是类似下面的做法:
- ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
上述代码中的 TLSv1 其实就是 TLSv1.0,也就是说我们在配置 SSL 的时候如果还是用到 TLSv1 就会出现 PCI DSS 不合规。既然知道了问题所在,那么解决办法也就很简单了,直接在 SSL 配置中禁用 TLSv1.0,也就是直接删除 TLSv1,修改后的代码如下:
- ssl_protocols TLSv1.1 TLSv1.2;
如果你的站点环境支持 TLSv1.3,那么可以修改为:
- ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
修改好 ssl_protocols 之后,记得重启一下 nginx(平滑重启 nginx 命令:
/usr/local/nginx/sbin/nginx -s reload),然后到myssl.com重新检测,如果没有变化,点击右侧的“刷新报告”按钮刷新即可。如本站修改之后的检测报告如下:
如上图所示,本站把 SSL 配置中的 TLSv1 删除并重启 nginx 之后,PCI DSS 已经合规了。
如果你也是使用又拍云 CDN的话,记得到功能配置 - HTTPS - 往下拉找到“最低 TLS 版本”- 点击『管理』按钮 - 选择 TLSv1.1 并点击『确定』按钮。如下图所示:
这样在服务器上直接配置禁用 TLSv1.0,在又拍云上选择最低 TLS 版本为 TLSv1.1,那么可以说是万无一失了,检测报告中 PCI DSS 肯定是合规的了。有空的话,建议各位博主站长也检测一下自己站点是否存在 PCI DSS 不合规的情况,如果存在就按本文的办法折腾一下就行。
发表于2018-08-14 11:03 沙发
刚刚看了下,都是绿色的嘿嘿
发表于2018-08-14 11:06 板凳
不过有趣的是我查了下myssl.com,他PCI DSS显示不合格
@青山人家说这个是跟支付有关,像我们普通博客,其实是无须在意这个的
发表于2018-08-14 11:28 地板
之前也把它设置为TLSv1.1了,又拍云蛮好使的 [呲牙]
@闲鱼是的,又拍云可以直接设置版本,我也是今天才改为从1.1开始
发表于2018-08-14 12:53 4楼
我也是这个问题,感谢老古分享方案
@久伴博客[呲牙] 我也是看到其他博客的文章才发现自己的站点也有这个问题,然后就去掉TLSv1了
发表于2018-08-14 20:01 5楼
说多了都是泪,TLSv1.0已经去掉一两个星期了,nginx也重启过了,现在依然提示不合规 [笑哭] (腾讯云的CDN)
@蒲公英估计应该是CDN问题,不知道腾讯云CDN是否可以像又拍云一样设置从TLSv1.1开始
发表于2018-08-15 12:58 6楼
简单一点就是删除旧的呗= =、
@姜辰是的,如果开启有CDN的话,服务器端配置了禁用TLSv1.1也未必有用
发表于2018-08-16 08:11 7楼
我特意查看了下yigujin.cn 虽然达到A+了,但还是显示不符合PCI DSS,老古你文章中的PCI DSS合规是PS上去的? [笑哭]
@康乐民博客[笑哭] 服务器端配置禁用了TLSv1.1,但是使用CDN,特别是同时使用多个CDN的话,有时候检测是合合规,有时候检测是不合规,反正这个是跟支付有关,而本博客没有支付,所以懒得理会了。
发表于2018-08-16 11:34 8楼
正在想怎么搞?
@B站核心就是删除TLSv1即可
发表于2018-08-16 20:32 9楼
最近一个站手机端老是被恶意劫持,看来https要提上日程了。
@智宇上HTTPS可以减少一些劫持,手机端的劫持确实挺多的,特别是运营商劫持更是防不胜防
发表于2018-08-17 13:59 10楼
这个早就搞了,剩下TLS1.3,宝塔还不支持,自己也懒得折腾,等后续吧…
@简单生活我的也还没有弄TLSV1.3,以后再折腾了
发表于2018-08-17 15:23 11楼
emm,这个是篇技术文章啊,只有遇到困难的时候,才有技术可写
@大事记是的,折腾了就会遇到问题,遇到问题了才会有思路写文章,要不然都不懂更新什么。
发表于2018-08-25 15:51 12楼
都是积累
发表于2019-04-18 13:21 13楼
www-xiaoyaogzs-om评分A,xiaoyaogzs-com为T,不知道咋弄了 [笑哭]