漏洞情況
服務(wù)器支持弱協(xié)議TLS1.0揖盘、TLS1.1、SSL2.0锌奴、SSL3.0兽狭。如下所示：
sslscan
漏洞危害
使用一個(gè)如TLSv1.0、TLS1.1、SSL2.0箕慧、SSL3.0的弱協(xié)議容易受到中間人攻擊服球。這將允許攻擊者讀取和修改在一個(gè)安全的TLS連接數(shù)據(jù)，從而影響用戶的安全和隱私颠焦。它的使用也將限制使用強(qiáng)大的密碼套件斩熊，這些套件是有助于保護(hù)數(shù)據(jù)的完整性和保密性。
整改建議
在服務(wù)器上禁用支持TLSv1\SSLv2\SSLv3協(xié)議伐庭。NIST 800-52和PCI DSS V3.1強(qiáng)烈建議升級到最新的版本的TLS v1.2粉渠。或者圾另，至少升級到TLS v1.1霸株。
NGINX
在nginx.conf中進(jìn)行設(shè)置
ssl_protocols TLSv1.1 TLSv1.2;
官方文檔
http://nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_protocols
ssl_protocols
復(fù)現(xiàn)驗(yàn)證
通過Chrome，按F12集乔，選擇Security去件，可以查看到對應(yīng)的安全連接設(shè)置。
或者通過
nmap命令查看：
nmap -p 443 --script ssl-enum-ciphers www.example.com
- 還可以通過
sslScan命令查看其它推薦的加密套件扰路。
sslscan www.example.com
