Analyse de conformité PCI Échec de la prise en charge de TLS 1.0, mais suppression des interruptions de prise en charge <IE 10
Mon entreprise reçoit ce message nous faisant échouer notre analyse de conformité TrustKeeper PCI:
Remarque pour analyser le client: Cette vulnérabilité n'est pas reconnue dans la base de données nationale des vulnérabilités. TLS v1.0 viole PCI DSS et est considéré comme une condition d'échec automatique.
Selon: http://en.wikipedia.org/wiki/Transport_Layer_Security
TLS 1.1 est désactivé par défaut dans IE10 et n'est pas du tout disponible dans les anciennes versions. Nous avons un public de bonne taille IE.
Cela signifie-t-il que tous nos utilisateurs avec TLS 1.1 non activé ou pris en charge ne pourront plus utiliser notre site Web si nous apportons cette modification? Cela semble si tôt. Suis-je en train de manquer quelque chose? Tout notre trafic est servi via un équilibreur de charge, serait-il possible d'afficher une sorte de message pour ceux qui ne prennent pas en charge TLS 1.1?
Version courte:
- TLS 1.0 est sur avis en date du PCI DSS 3.1
- TrustWave carpe , mais vous pourrez peut-être continuer à utiliser TLS 1.0 s'il ne s'agit pas d'une "nouvelle application"
Version longue:
PCI DSS 3.1 a été publié il y a deux semaines, le 14 avril 2015. Il indique que
SSL et TLS précoce ne sont pas considérés comme une cryptographie forte et ne peuvent pas être utilisés comme contrôle de sécurité après le 30 juin 2016.
En décembre 2015, la date de migration des applications existantes a été repoussée de deux ans :
Le Conseil des normes de sécurité de l'industrie des cartes de paiement (PCI SSC) prolonge la date d'achèvement de la migration au 30 juin 2018 pour la transition de SSL et TLS 1.0 vers une version sécurisée de TLS (actuellement v1.1 ou supérieure).
Ces dates fournies par PCI SSC en décembre 2015 remplacent les dates originales publiées dans PCI Data Security Standard v3.1 (DSS 3.1) et dans le Migration depuis SSL et le supplément TLS au début d'avril 2015.
Si je comprends bien, les "nouvelles applications" doivent toujours être mises en œuvre conformément à la nouvelle exigence 1.1+; l'extension s'applique uniquement aux applications existantes qui utilisaient TLS 1.0 avant avril 2015.
La définition de ce que signifie "TLS précoce" fait l'objet d'un débat fasciné parmi les QSA, mais il est sûr de dire que 1.0 en fait partie (et 1.1? Peut-être! Attendez et découvrez!). (Mise à jour - en décembre 2015, la version 1.1 est toujours "sûre")
Voici comment TrustWave dit qu'ils mettent en œuvre ces directives:
- Les nouvelles implémentations doivent utiliser des alternatives à SSL et TLS précoce.
- Les organisations avec des implémentations existantes de SSL et TLS précoce doivent avoir un plan d'atténuation des risques et de migration en place.
- Avant le 30 juin 2016, les fournisseurs de numérisation approuvés (ASV) peuvent documenter la réception d'un plan d'atténuation des risques et de migration d'une organisation à titre d'exception dans le rapport de numérisation ASV (conformément au Guide du programme ASV).
- Les dispositifs de point de vente (POS) ou de point d'interaction (POI) qui peuvent être vérifiés comme n'étant pas sensibles à tous les exploits connus de SSL et TLS précoce peuvent continuer à utiliser ces protocoles comme contrôle de sécurité après le 30 juin 2016.
Donc, s'il s'agit d'une nouvelle application, vous devrez peut-être supprimer le support TLS 1.0. Si ce n'est pas le cas, repoussez TrustWave et découvrez le type de "plan d'atténuation des risques et de migration" dont ils ont besoin.
(En tirant le lien de @ mti2935 vers le haut des commentaires, voici Modèle de plan de risque de Trustwave . Merci @ mti2935!)
PCI DSS n'interdit pas TLSv1.0. Non, vous ne pourrez pas afficher un message aux utilisateurs TLSv1.0 sans violer PCI DSS, car afficher un message aux utilisateurs finaux signifie que vous devez terminer TLSv1. 0 négociation. Techniquement, il est possible de configurer le script côté serveur pour vérifier les variables d'environnement SSL pour TLSv1.0 et afficher un message d'erreur dans ce cas, mais ce n'est pas autorisé par PCI DSS.
Peu importe si vous terminez la négociation dans le but d'accepter les données de carte de crédit ou si vous terminez la négociation dans le but d'afficher un message "veuillez mettre à jour votre navigateur". Il est strictement interdit d'accepter ou d'offrir SSv2, SSLv3 ou TLSv1.0.
Étant donné que l'analyse PCI DSS est automatisée et échoue à l'état de négociation, cela n'aura même pas d'importance si vous poussez un HTTP 403 lors de la détection d'une connexion TLSv1.0.
Cependant, je peux dire que les utilisateurs d'IE10 sont très peu nombreux. IE10 est fourni avec l'ancien support Windows 7, et ceux-ci sont dans la plupart des cas mis à jour automatiquement via la mise à jour Windows. Les utilisateurs avec lesquels vous devez lutter sont IE8, c'est-à-dire de Windows XP, et IE9 qui est au maximum disponible sur Vista. Ceux sur Windows 7 et versions ultérieures ont IE11.
Exécutez les vérifications du côté http.
Premier site
Cela vérifie le navigateur et génère une erreur s'il n'y a pas de support. Sinon, redirige vers le site sécurisé.
Deuxième site
Le deuxième site est le serveur PCI qui prend en charge ce dont vous avez besoin. C'est celui que vous scannez.
Si l'utilisateur accède directement à ce site, sa session échouera. Vous ne pouvez pas faire grand-chose pour donner des commentaires aux utilisateurs. Assurez-vous que tous vos liens pointent l'utilisateur vers http://secure.example.com .
Défi
Si l'utilisateur copie/colle en quelque sorte un lien vers le site sécurisé, il ne sera toujours pas informé. Cependant, s'ils naviguent normalement vers la zone sécurisée, ils ne devraient avoir aucun problème.