今天有個客戶給我反饋了一個在網(wǎng)站安裝SSL證書后，網(wǎng)站https顯示異常的問題，就是在谷歌瀏覽器下，會提示“您的連接存在安全隱患”，訪問被阻止，如下：

如果繼續(xù)強制瀏覽，會提示“你與此網(wǎng)站之間建立的連接并非完全安全，攻擊者可能能夠看到您正在此網(wǎng)站上瀏覽的圖片，并通過編輯這些圖片讓你受騙 ”，如下：

已經(jīng)很少遇到這種情況了，而且在其他瀏覽器下都沒遇到過，其他網(wǎng)站申請的相同類型的SSL證書也沒遇到過，所以排除了是證書的問題；網(wǎng)站上有些http類型的資源，全部替換成https的資源后，還是有這個提示，最后估計是服務器配置這塊有點問題了；后來百度了下這個問題，說得最多的是IIS web服務器相關(guān)的問題，想想平時幫客戶做網(wǎng)站已經(jīng)基本不用IIS服務器了，原因那應該出在服務器配置上了。

下面是作者收集整理后的具體解決方法，如果你的網(wǎng)站用的是IIS服務器，網(wǎng)站要升級成https，這個方法能幫你解決到這個問題。

1、下載服務器安全管理工具 IIS Crypto，點擊下面的按鈕下載到IIS服務器：

2、解壓后，直接雙擊IISCrypto.exe進行安裝，按照下面的選項勾選，然后點擊“Apply”保存設置，然后點擊“Reboot”重啟服務器即可。

重新配置后，網(wǎng)站證書顯示正常了

IIS Crypto工具介紹

IIS Crypto 是一個免費工具，使管理員能夠在 Windows Server 2008、2012、2016、2019 和 2022 上啟用或禁用協(xié)議、密碼、哈希和密鑰交換算法。

允許您重新排序 IIS 提供的 SSL/TLS 密碼套件、更改高級設置、通過單擊實施最佳實踐、創(chuàng)建自定義模板和測試您的網(wǎng)站。

功能

1、單擊以使用最佳實踐保護您的網(wǎng)站。
2、在進行任何更新之前備份注冊表。
3、更改高級注冊表設置。
4、內(nèi)置最佳實踐、PCI 4.0、嚴格和 FIPS 140-2 模板。
5、創(chuàng)建可在多個服務器上保存和運行的自定義模板。
6、恢復為原始服務器的默認設置。
7、阻止溺水、僵局、怪胎、貴賓犬和野獸攻擊。
8、啟用 TLS 1.1、1.2 和 1.3*。
9、啟用前向保密。
10、對密碼套件重新排序。
11、禁用弱協(xié)議和密碼，例如 SSL 2.0、3.0、MD5 和 3DES
12、用于測試配置的站點掃描程序。

IIS上部署多個SSL證書綁定https和使用TLS1.0 TLS1.1 TLS1.2協(xié)議

近日站長嘗到了轉(zhuǎn)https的好處，這幾天也順便把公司服務器上面的幾個網(wǎng)站都由http轉(zhuǎn)成https。實際操作發(fā)現(xiàn)IIS弄個SSL還是很多坑的。下面提兩點，給大家一點幫助。具體綁定SSL證書的操作很簡單，不懂百度一下很多教程的。

坑1：服務器要windows server 2012 + IIS8.5以上才能多個域名同時部署SSL，否則很麻煩。

由于公司的服務器是Windows server 2012，剛好能方便的多個域名同時綁定https，不然真的很麻煩。我建議不得不用Windows服務器的話，建議大家重裝到2012以上的版本吧。

還有綁定https域名時，記得勾選上“需要服務器名稱指示(N)”，這也是一個小坑，不勾選的話，只能綁定的是第一個綁定的SSL證書。

坑2：IIS默認的是SSL 2.0協(xié)議，使用了RC4加密密鑰的，這樣會造成PCI DSS和Apple ATS規(guī)范不及格。

我們需要禁用SSL v2.0、SSL v3.0協(xié)議和低強度加密密鑰。使用TLS1.0 TLS1.1 TLS1.2版本。

這里如果要改的話，要去注冊表改，很麻煩的。我找到了IIS Crypto GUI這個軟件很方便就能修改。

直接點“Best Practices”，推薦設置，然后點“Apply”應用即可，要重啟一下系統(tǒng)。

注意！ 注意！

修改SSL相關(guān)的注冊表可能會導致windows 服務器無法進系統(tǒng)，使用IIS Crypto設置錯了也會導致進不了系統(tǒng)。所以需要先備份和系統(tǒng)快照。

最后是我碰到了lsass.exe進程占用CPU過高的問題，
Key Exchanges 只開啟PKCS可以解決。原因不明。

Lsass.exe high CPU usage and causing request queuing on webserver

https://serverfault.com/questions/674029/lsass-exe-high-cpu-usage-and-causing-request-queuing-on-webserver

TLS 設置 c#

c#,asp.net4.0-4.4 是

在發(fā)送HTTP請求前加入下行代碼

ServicePointManager.SecurityProtocol = (SecurityProtocolType)192 | (SecurityProtocolType)768 | (SecurityProtocolType)3072;

  4.5 是

如果是4.5以上版本可以直接使用

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls11;

最新評論