HTTPS 证书部署如何做到 PCI DSS 合规？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

Certbot 使用文档

Dehydrated

Stay.live 证书有效期监控

HTTP Strict Transport Security

What's My Chain Cert?

Certificate Search by Comodo

这是一个创建于 2733 天前的主题，其中的信息可能已经有所发展或是发生改变。

HTTPS 证书检测结果

证书检测结果如上，但是 PCI DSS 怎样才能合规，并没有说明。

第 1 条附言 2018-06-10 13:43:13 +08:00

我猜不是因为 TLS1.0 TLS1.1 的原因，而是加密套件不安全：

加密套件截图

dss

pci

证书

检测

18 条回复 2018-06-15 11:09:42 +08:00

geekzu

2018-06-09 16:34:52 +08:00 via Android

myssl.com 网站最近炸了，所有站点检测 PCI DSS 都是不合规，无视即可

Loyalsoldier

2018-06-09 16:49:33 +08:00

@geekzu #1 谢谢！

xingxing460

2018-06-09 19:57:39 +08:00 via Android

禁用 TLSv1.0 1.1，只启用 TLS1.2 以上的协议就可以了。这样会不兼容旧客户端。

davidyin

2018-06-09 20:25:16 +08:00 via Android

@geekzu 可以检查，没有问题。

geekzu

2018-06-09 23:04:25 +08:00 via Android

@xingxing460 没有那么严格，一般只要 SSLLAB 评分能到 A 就完全可以通过，不需要关闭 TLS1.1 和 TLS1.0

@davidyin 没有人说不可以检查，只是说这个工具检测 PCI DSS 的功能废了而已

davidyin

2018-06-10 03:39:41 +08:00 via Android

@geekzu 我的意思是检查后 PCI DSS 是通过的。
![Screenshot_2018-06-09-05-23-43-503_Chrome.png]( https://i.loli.net/2018/06/10/5b1c2cac68416.png)

dorentus

2018-06-10 10:51:01 +08:00 via iPhone

https://myssl.com/rubyist.today 我的这个也是通过的

Loyalsoldier

2018-06-10 13:43:52 +08:00

@geekzu #1
@xingxing460 #3
@davidyin #4
@dorentus #7

看附言

geekzu

2018-06-10 23:19:36 +08:00

看了下最新的规范，6 月 30 日之后的要求是支持 TLS1.2 并关闭 TLS1.0 及以下版本协议。
也就是说 myssl 的检测结果是对的，只不过没有说明是 6 月 30 日之后的规则。
楼上几位通过检测的应该都是关闭了 TLS1.0 的，和弱加密套件没什么关系。

dfly0603

2018-06-10 23:29:20 +08:00 via Android

@geekzu 对的,我检查了两次,两次不同的结果。

razeen

2018-06-14 16:07:41 +08:00

原来合规的情况下，把 TLS v1.0 关了就合规了。
官方已经给出说明。 https://blog.myssl.com/pci-dss/

Loyalsoldier

2018-06-14 16:13:02 +08:00

@razeen #11
感谢！

Loyalsoldier

2018-06-14 17:19:20 +08:00

@razeen #11

按照你发的文章的说明，停用了 TLS1.0 后，再检测，还是不合规。我用的配置如下：

```
ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DS;
```

SSL_CIPHERS 是用 https://mozilla.github.io/server-side-tls/ssl-config-generator/ 生成的：Nginx、Intermediate、1.10.3、1.0.2k

Loyalsoldier

2018-06-14 17:20:21 +08:00

@razeen #11

上面的配置在 myssl.com 刷新报告后检测出来，依然是显示支持 TLS1.0
这个很奇怪

razeen

2018-06-15 11:05:50 +08:00

<img src=http://chuantu.biz/t6/328/1529031797x-1404764547.png />

我将套件改成你一样了，是可以的。

<img src=http://chuantu.biz/t6/328/1529031891x-1566657555.png />

你配置后重启 nginx 了么==。

razeen

2018-06-15 11:06:15 +08:00

@razeen
![]( http://chuantu.biz/t6/328/1529031797x-1404764547.png)

razeen

2018-06-15 11:07:29 +08:00

http://chuantu.biz/t6/328/1529031891x-1566657555.png

阿西 v2 不支持回复图片么

再试试
[img]http://chuantu.biz/t6/328/1529031891x-1566657555.png[/img]

Loyalsoldier

2018-06-15 11:09:42 +08:00

@razeen #16

Nginx 用 restart 命令重启的。奇怪了……