增强SSL安全性

更新时间：2020-05-11 17:57:17

大多数操作系统的默认配置允许应用程序在充当SSL客户端或服务器时使用任何受支持的密码和哈希集。尽管这确保了与其他客户端和服务器应用程序的完全兼容性，但由于支持不安全的协议，密码套件和哈希算法，因此不再符合SSL加密通信在隐私和信任方面的期望。 因此，增强SSL的安全性主要包括禁用这些不安全的协议，密码和哈希值，以及确定允许使用Perfect Forward Secrecy密码套件的优先级。 由于MailStore Server依赖于Windows的称为Secure Channel（也称为Schannel）的安全支持提供程序（SSP），因此必须创建或修改许多注册表项才能禁用不安全的协议，密码和哈希。尽管Microsoft的文章“传输层安全性（TLS）注册表设置”详细描述了哪些注册表项会影响安全提供程序设置，但不建议手动更改这些注册表项。调整服务器应用程序的Schannel设置的更安全方法是Nartac Software的IIS Crypto工具。 重要说明：在Windows中修改安全支持提供程序（SSP）的配置可能会影响一般的操作系统功能，例如身份验证服务，远程桌面和管理功能或其他依赖SSP的第三方应用程序。因此，在应用更改后，需要仔细测试所有服务。  

推荐设置

通过MailStore Server计算机上的IIS Crypto中的以下设置，可以实现最高的安全性。

协议启用	TLS 1.1 TLS 1.2
启用密码	AES 128/128 AES 256/256
启用哈希	SHA SHA256 SHA3​​84 SHA512
启用密钥交换	迪菲·赫尔曼 PKCS ECDH
SSL密码套件订单	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA