您的位置
主页 > 站长学院 » 正文

PCI合规截止日期:你必须在6月30日之前禁用TLS 1.0

来源:www.jz265.com 点击:1387

你有电子商务网站吗?你接受在线支付吗?你担心受到惩罚吗?如果所有三个问题的答案都是“是”,那么您应该立即禁用TLS 1.0。思考它的时间已经过去了。你只有几天!

支付卡行业安全标准委员会(PCI SSC)是由美国运通,Discover Financial Services,JCB International,MasterCard和Visa Inc.于2006年组建的独立机构。该机构的成立是为了保护持卡人数据并确定主要要求。所有12个接受在线支付的供应商。虽然这些要求不是任何法律的一部分,但他们的支付卡公司已迫使商家接受信用卡付款。如果企业不符合规定,他们可能会面临每月最高100,000美元的罚款。

2015年4月发布的PCI DSS v3.1将2016年6月的最后期限从SSL和早期TLS迁移到更新,更安全的版本。此处,“从SSL和早期TLS迁移”意味着禁用对旧版SSL和TLS版本的支持。最后,截止日期延长了两年,并于2018年6月30日成为新的截止日期。

2016年4月发布的PCI DSS v3.2也包含此截止日期。

安全套接字层(SSL),原始加密协议在1999年发布了其最新版本(SSL 3.0)。由于SSL版本中的漏洞,SSL很快被TLS取代。从那时起,已经发布了四个版本,包括TLS 1.0。

早期版本的SSL和TLS已被发现容易受到Heartbleed,POODLE,BEAST,CRIME和Bleichenbacher等漏洞的攻击 - 这包括TLS 1.0。这个机会之窗吸引了黑客拦截和篡改客户敏感的信用卡数据 - 一种技术性的中间人攻击。

当然,进行中间人攻击并不容易,但发生这种情况的可能性对于涉及在线支付的电子商务网站来说是致命的。

您可能会问,为什么我们不直接禁止那些易受攻击的协议?由于没有一个组织可以禁用整个Internet的旧SSL/TLS版本,因此必须由服务器上的服务器管理员完成。

许多网站仍然运行在不支持最新TLS版本的旧服务器上。例如,Windows Server 2008不支持TLS 1.1,1.2和1.3。这些站点的管理员需要尽快采取行动并迁移到更新的服务器。即使您已迁移到较新的服务器或已有服务器,您仍然没有完成。您还需要禁用对SSL /早期TLS的支持。

应该禁用哪些SSL/TLS版本?

这就是SSL SSC文件所说的关于SSL/TLS版本的禁用版本的内容:

POI可以继续使用SSL /早期TLS,但前提是它可以显示POI不易受当前已知漏洞的攻击。但是,SSL是一种过时的技术,未来可能会面临更多的安全漏洞;因此,强烈建议POI环境尽可能使用TLS v1.1或更高版本。 POI的新实现应强烈考虑支持和使用TLS 1.2或更高版本。如果您的环境中不需要SSL/Early TLS,则应禁用这些版本的使用和降级。

TLS 1.2/1.1尚未用作默认值吗?

在大多数情况下,这是对的。

但正如一些大学和大学使用微软放弃的Win XP一样,新版本的TLS在这些旧系统上根本不兼容。如果在服务器上打开旧版TLS,则会建立连接。这将违反PCI DSS的要求,您可能会受到严厉的处罚。

网站管理员需要快点!从2018年6月30日起还有三天。你准备好了吗?

原文:https://www.gworg.com/Safety-information/617.html