Amazon AWS ELB 上的 PCI 合规性需要哪些 SSL 密码？答案

【问题标题】：Which SSL ciphers for PCI compliance on Amazon AWS ELB?Amazon AWS ELB 上的 PCI 合规性需要哪些 SSL 密码？
【发布时间】：2012-02-23 18:54:54
【问题描述】：

我们正在努力在 AWS 上的负载平衡 EC2 实例上实现 PCI 合规性。我们必须解决的一个问题是我们的负载均衡器接受弱密码。但是，ELB 不支持密码套件，所以我必须手动设置每个密码。问题是，我找不到符合强密码条件的列表。例如，此设置将转换为哪些密码：

SSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUM

很难找到这些信息，而且亚马逊没有默认的 PCI 合规设置（这看起来很愚蠢 - 他们有两个默认策略，为什么没有第三个称为“强 PCI”之类的）。

【问题讨论】：

【解决方案1】：

更新/提示：请务必阅读 Seamus 的后续 cmets，以简化 ELB 设置的 PCI 认证，因为选择正确的 SSL 密码是其中的一部分仅限拼图。

真是个谜——默认的 PCI 兼容 Elastic Load Balancing (ELB) 设置确实非常有用；）

您可以在SSLCipherSuite 指令的 Apache 文档中找到所有这些标签，例如：

祝你好运！

【讨论】：

我发现了几个非常有用的链接，对于那些追求这个问题的人来说：密码列表及其各自的优势：drjohnstechtalk.com/blog/2011/09/… 关于如何使用命令行工具调整负载均衡器设置的帖子示例：forums.aws.amazon.com/message.jspa?messageID=276031 使用命令行工具，您可以添加一个策略来逐一消除违规密码。
好吧，我们获得了 PCI 认证，但并非没有经过多次试验和错误。一些提示： - 确保您正在扫描您的域，而不是您的 IP（如果您使用的是负载平衡器）。此外，请确保收紧服务器，即使它位于负载平衡器后面。如果他们连接到您的 IP，它将绕过 LB -确保您打开所有 256 密码和至少一两个 128，否则您将遇到 IE8 及更低版本无法连接的问题。 - 请记住在创建策略后通过将其设置为收听 443 后应用您的策略。
@SeamusJames：感谢您跟进这些详细信息以指导未来的读者，非常感谢 - 您的提示可以帮助其他人在类似情况下节省相当多的时间，我已经用相应的指针更新了我的答案相应地！

【解决方案2】：

我发现 AWS ELB SSL 密码的以下设置通过了我们使用的 PCI 合规性扫描：

协议：SSLv3、TLSv1

密码：CAMELLIA128-SHA、CAMELLIA256-SHA、KRB5-RC4-MD5、KRB5-RC4-SHA、RC4-MD5、RC4-SHA、SEED-SHA

此外，我发现这个网站有助于验证正在运行的协议/密码：https://www.ssllabs.com/ssltest/index.html

【讨论】：