HTTPS配置符合PCI DSS合規(guī)標(biāo)準(zhǔn)
一、前言
因業(yè)務(wù)需求，公司站點(diǎn)的HTTPS配置必須符合PCI DSS合規(guī)標(biāo)準(zhǔn)。判斷是否符合PCI DSS合規(guī)標(biāo)準(zhǔn)可使用工具(如https://myssl.com/)通過(guò)對(duì)HTTPS證書進(jìn)行安全檢測(cè)，若不符合會(huì)出現(xiàn)如下圖中的提示。
二、關(guān)于PCI DSS
1.產(chǎn)生背景
MasterCard、VISA、American Express、Discovery和JCB是目前PCI產(chǎn)業(yè)中的五個(gè)全球支付品牌。每個(gè)品牌都有自己的安全要求，每個(gè)品牌所維護(hù)的安全策略體系也依然在用。經(jīng)五個(gè)卡品牌協(xié)商，為了更好的促進(jìn)支付卡產(chǎn)業(yè)數(shù)據(jù)安全的發(fā)展，把數(shù)據(jù)保護(hù)的相關(guān)要求統(tǒng)一維護(hù)，成立PCI安全標(biāo)準(zhǔn)委員會(huì)。
PCI安全標(biāo)準(zhǔn)委員會(huì)作為一家全球性組織，主要負(fù)責(zé)全球范圍內(nèi)對(duì)于數(shù)據(jù)保護(hù)標(biāo)準(zhǔn)的制定和更新、體系的管理、人員和機(jī)構(gòu)的培訓(xùn)、審核機(jī)構(gòu)的授權(quán)還有安全意識(shí)的教育等等。
2.什么是PCI DSS
全稱Payment Card Industry Data Security Standard,第三方支付行業(yè)(支付卡行業(yè)PCI DSS)數(shù)據(jù)安全標(biāo)準(zhǔn)，是由PCI安全標(biāo)準(zhǔn)委員會(huì)的五個(gè)創(chuàng)始成員共同制定，力在使國(guó)際上采用一致的數(shù)據(jù)安全標(biāo)準(zhǔn)。
PCI DSS支付卡產(chǎn)業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)是一個(gè)被開發(fā)支持和提高持卡人數(shù)據(jù)安全和卡組織采用的全球化一致性的數(shù)據(jù)安全措施。提供了一套保護(hù)持卡人數(shù)據(jù)的技術(shù)和操作的基線要求。PCI DSS信息安全標(biāo)準(zhǔn)有6大目標(biāo)，12個(gè)大類要求，整個(gè)PCI安全標(biāo)準(zhǔn)基本就圍繞這些項(xiàng)目進(jìn)行的，正在或準(zhǔn)備有意向要做PCI合規(guī)審查的組織可以作為參考。
現(xiàn)行標(biāo)準(zhǔn)版本為PCI DSSv3.2.1。
PCI DSS適用于所有涉及到支付卡存儲(chǔ)、傳輸和處理的實(shí)體，主要包括商戶、第三方支付機(jī)構(gòu)、發(fā)卡機(jī)構(gòu)和服務(wù)提供商等。PCI DSS包括一組保護(hù)持卡人信息的基本要求，并可能增加額外的管控措施，以進(jìn)一步提高數(shù)據(jù)的安全性，降低數(shù)據(jù)泄露的風(fēng)險(xiǎn)。
PCI DSS標(biāo)準(zhǔn)從信息安全管理體系、網(wǎng)絡(luò)安全、物理安全、數(shù)據(jù)加密等方方面面提出了諸多的安全基線要求。雖然沒(méi)有任何一個(gè)信息安全標(biāo)準(zhǔn)或者安全建設(shè)可以保障實(shí)現(xiàn)百分之百的抵御安全風(fēng)險(xiǎn)，然而根據(jù)業(yè)界的積累，能夠?qū)崿F(xiàn)PCI DSS并且嚴(yán)格按照PCI DSS的要求持續(xù)實(shí)施針對(duì)持卡人數(shù)據(jù)環(huán)境的安全防護(hù)，安全事件發(fā)生的可能性將大大降低。
三、配置
HTTPS配置符合PCI DSS合規(guī)標(biāo)準(zhǔn)，在對(duì)應(yīng)的站點(diǎn)配置文件里禁用 TLSv1.0 即可。
1.Nginx服務(wù)
## 禁用TLSv1.0后ssl_protocols項(xiàng)配置如下:
- ssl_protocols TLSv1.1 TLSv1.2;
## 檢測(cè)配置并重啟
- ${NginxPATH}/sbin/nginx -t
- ${NginxPATH}/sbin/nginx -s reload
- //${NginxPATH}為nginx應(yīng)用安裝目錄路徑，請(qǐng)根據(jù)實(shí)際情況修改。
2.Apache服務(wù)
## 禁用TLSv1.0后ssl_protocols項(xiàng)配置如下:
- # 未知版本
- ssl_protocols TLSv1.1 TLSv1.2;
- # Apache 2.2.22版
- SSLProtocol TLSv1.1
- # Apache 2.2.23版
- SSLProtocol ALL -SSLv2 -SSLv3 -TLSv1
- # Apache + mod_nss版
- NSSProtocol TLSv1.1,TLSv1.2
## 重啟服務(wù)(以CentOS7 系統(tǒng)為例)
- systemctl restart httpd
3.配置修改完成后再次檢測(cè)就不會(huì)有 “PCI DSS 不合規(guī)”的提示。
