Ich habe eine Website, die gerade eine PCI-Konformitätsprüfung nicht bestanden hat. Der Bericht besagt, dass die Website schwache Chiffren unterstützt. Ich dachte, ich hätte das bereits deaktiviert, indem ich SSL 2.0 auf den Webservern deaktiviert habe. (Es lehnt es ab, eine Webseite zu laden, wenn ich dem Browser sage, dass er nur SSL 2.0 verwenden soll.)
Muss ich noch etwas deaktivieren oder überprüfen? (Es ist eine Webfarm, gibt es irgendetwas auf dem Load Balancer, das ich mir ansehen muss? Übrigens sollte die LB die Daten einfach weiterleiten, die Verschlüsselung / Entschlüsselung erfolgt allesamt auf den Webservern.)
Windows Server 2003, IIS 6.0, ASP.NET 2.0-Website.
--- Update ---
Nachdem ich die von GregD bereitgestellten Links durchgesehen habe, habe ich die meisten Probleme gelöst. Ich bekomme immer noch das Problem, dass das Zertifikat nicht vertrauenswürdig ist. Die SSL Labs-Website gibt hilfreiche Hinweise, warum dies möglich ist (ansonsten ist das Thema jedoch nicht sehr explizit):
Es gibt viele Gründe, warum einem Zertifikat möglicherweise nicht vertraut wird:
- Es wird vor dem Aktivierungsdatum verwendet (es ist im Datum)
- Es wird nach seinem Ablaufdatum verwendet (es ist in Datum)
- Der Hostname des Zertifikats stimmt nicht mit der Site überein (Hostname und Site stimmen überein).
- Es wurde widerrufen (Wie kann ich sagen?)
- Es ist selbst signiert (es ist von verisign)
- Der Emittent ist keine bekannte Zertifizierungsstelle (Ist verisign bekannt genug?)
- Die Zertifikatskette ist unvollständig (Wie kann ich sagen?)
Firefox scheint mit dem Zertifikat einverstanden zu sein und einen schönen grünen Bereich in der Adressleiste anzubringen.