PCI अनुपालन के लिए Nginx की तैयारी

सभी को नमस्कार।

आज, हमारा लक्ष्य PCI अनुपालन के लिए Nginx तैयार करना है। अधिक विशेष रूप से, एसएसएल प्रोटोकॉल और एन्क्रिप्शन। ठीक है, या सिर्फ हमारे एसएसएल कनेक्शन की सुरक्षा बढ़ाने के लिए और कमजोरियों से छुटकारा पाने के लिए।

इस फॉर्म में कॉन्फिग का हिस्सा लाने के लिए सभी की जरूरत है :)

ssl_certificate /etc/nginx/card.pem; ssl_certificate_key /etc/nginx/card.key; ssl_ciphers RC4:HIGH:!aNULL:!MD5:!kEDH; ssl_session_cache shared:SSL:10m; ssl_prefer_server_ciphers on; 

हालांकि, मैं कुछ विवरण जोड़ूंगा, हम बिंदुओं पर विचार करेंगे।

यदि आपके पास नगनेक्स के नवीनतम संस्करण हैं, तो सबसे अधिक संभावना है कि डिफ़ॉल्ट रूप से "मजबूत" सिफर होंगे। लेकिन फिर भी, हम डिफ़ॉल्ट मानों को थोड़ा बदल देंगे:

 ssl_ciphers RC4:HIGH:!aNULL:!MD5:!kEDH; 

आरसी 4-एसएचए को सीबीसी मोड के साथ सिफर करने के लिए पसंद करने के लिए हम ऐसा करते हैं, क्योंकि वे कमजोरियों के प्रति संवेदनशील हैं।

आप आदेशों के साथ सिफर की पूरी सूची देख सकते हैं:

 openssl ciphers 

हम एक BEAST हमले CVE-2011-3389 की संभावना को बाहर करते हैं:

 ssl_prefer_server_ciphers on; 

हम एसएसएल सत्रों के कैश को कनेक्ट करते हैं, यह हमें बार-बार कनेक्शन के दौरान स्थायी एसएसएल हैंडशेक से बचाएगा, और अंतिम टेस्ट में कुछ अंक जोड़ देगा। 1 मेगाबाइट कैश में लगभग 4,000 सत्र फिट होते हैं।

 ssl_session_cache shared:SSL:10m; 

संस्करण 0.7.64, 0.8.18 और पहले के लिए, आपको SSLv2 को अक्षम करने के लिए जोड़ना चाहिए:

 ssl_protocols SSLv3 TLSv1; 

संस्करणों में 0.7.65, 0.8.19 और बाद में: SSLv3, TLSv1, TLSv1.1 और TLSv1.2 डिफ़ॉल्ट SSL प्रोटोकॉल हैं, जो हमें पूरी तरह से सूट करते हैं।

हम एसएसएल लैब्स से परीक्षण के लिए जाते हैं और "ग्रेड ए" और "पीसीआई अनुपालन हाँ" प्राप्त करते हैं:

www.ssllabs.com/ssltest

उपयोगी लिंक:

Nginx.org HTTPS सर्वर को कॉन्फ़िगर करना
एसएसएल / टीएलएस की तैनाती सर्वश्रेष्ठ अभ्यास
एसएसएल सर्वर रेटिंग गाइड

युपीडी:
RC4 भेद्यता के कारण ( http://blog.cryptographyengineering.com/2013/03/attack-of-week-rc4-is-kind-of-broken-in.html ) के कारण, धन्यवाद, मैं आपको संस्करण के लिए ओपनएसएसएल अपडेट करने की सलाह देता हूं 1.0.1, जहां GCM और TLS 1.2 समर्थित हैं। अभी के लिए, यह सब हम अपने हिस्से के लिए कर सकते हैं और ब्राउज़रों से कार्यों की प्रतीक्षा कर सकते हैं।