Какую версию SSL использует IIS 7 по умолчанию и как заставить его использовать SSL v3?

Question

Я слышал, что SSL v2 намного менее безопасен, чем SSL v3, из-за недостатков в алгоритмах шифрования, которые он использует. Я хотел бы заставить мои сайты, работающие на IIS 7, использовать SSL v3. Кто-нибудь знает, как это делается?

Также стоит ли принудительно использовать 128-битное шифрование? У кого-нибудь были проблемы с производительностью при этом?

Answer 1

IIS 7 поддерживает как минимум SSL 3.0, TLS 1.0 и выше.

В SSL / TLS согласовывается версия, используемая для каждого соединения. Сначала клиент отправляет сообщение «привет», которое указывает на самый высокий уровень протокола, который он поддерживает. Сервер отвечает своим собственным приветом, указывая на самый высокий уровень, который он поддерживает, который не выше, чем у клиента. Таким образом, соединение устанавливается с использованием наивысшего уровня поддержки между клиентом и сервером.

Маловероятно, что современные клиенты фактически запросят SSL 2.0 (но иногда они будут запрашивать более поздние версии с SSLv2-совместимым форматом приветствия).

В любом случае в этой статье описывается, как отключить старые протоколы в IIS 7:

http://support.microsoft.com/kb/187498

Answer 2

Для тестирования в режиме онлайн, Qualys SSL test также удобен.