Configuração de verificação de certificação PCI DSS/3DS e a versão do TLS

Pré-requisitos

• O modo de implantação da instância do WAF configurado para o seu site é Cloud mode ou Dedicated mode.
• Seu site usa HTTPS como o protocolo do cliente.

Restrições

• Se o Client Protocol para o site que você deseja proteger estiver definido como HTTP, o TLS não será necessário e você poderá ignorar este tópico.
• Atualmente, essa função não está disponível no CN North-Ulanqab1.

Cenários de aplicação

Por padrão, a versão mínima do TLS configurada para o WAF é o TLS v1.0. Para garantir a segurança do site, configure a versão TLS correta para seus requisitos de serviço. Tabela 1 lista as versões mínimas recomendadas de TLS para diferentes cenários.

A suíte de cifras recomendada no WAF é Cipher suite 1. O Cipher Suite 1 oferece uma boa combinação de compatibilidade e segurança do navegador. Para obter detalhes sobre cada conjunto de cifras, consulte Tabela 2.

Os conjuntos de cifras TLS no WAF são compatíveis com todos os navegadores e clientes de versões posteriores, mas são incompatíveis com alguns navegadores de versões anteriores. Tabela 3 lista os navegadores e clientes incompatíveis se o protocolo TLS v1.0 for usado.

Recomenda-se que testes de compatibilidade sejam realizados no ambiente de serviço para garantir a estabilidade do serviço.

Impacto no sistema

• Se você ativar a verificação de certificação PCI DSS:
  • A versão mínima do TLS e o conjunto de cifras são definidos automaticamente como TLS v1.2 e EECDH+AESGCM:EDH+AESGCM, respectivamente, e não podem ser alterados.
  • Para alterar a versão mínima do TLS e o conjunto de cifras, desative a verificação.
• Se você ativar a verificação de certificação PCI 3DS:
  • A versão mínima do TLS é definida automaticamente como TLS v1.2 e não pode ser alterada.
  • A verificação não pode ser desativada.

Procedimento

1. Efetue login no console de gerenciamento.
2. Clique em no canto superior esquerdo do console de gerenciamento e selecione uma região ou projeto.
3. Clique em no canto superior esquerdo e escolha Web Application Firewall em Security & Compliance.
4. No painel de navegação, escolha Website Settings.
5. Na coluna Protected Website, clique no nome de domínio do site para acessar a página de informações básicas.
6. Na linha Compliance Certification, você pode selecionar PCI DSS e/ou PCI 3DS para permitir que o WAF verifique seu site quanto à conformidade de certificação PCI correspondente. Na linha TLS Configuration, clique em para concluir a configuração de TLS. Figura 1 mostra um exemplo.
   Figura 1 Modificação da configuração do TLS
   
   • Selecione PCI DSS. Na caixa de diálogo Warning exibida, clique em OK para habilitar a verificação de certificação PCI DSS.

     

     

     Se a verificação de certificação PCI DSS estiver ativada, a versão mínima do TLS e o conjunto de cifras não poderão ser alterados.

   • Selecione PCI 3DS. Na caixa de diálogo Warning exibida, clique em OK para ativar a verificação de certificação PCI 3DS.

     

     

     • Se a verificação de certificação PCI 3DS estiver ativada, a versão mínima do TLS não poderá ser alterada.
     • Uma vez ativada, a verificação de certificação PCI 3DS não pode ser desativada.

7. Na caixa de diálogo Configuração de TLS exibida, selecione a versão mínima de TLS e o conjunto de cifras. Figura 2 mostra um exemplo.
   Figura 2 Configuração de TLS
   
   Selecione a versão mínima do TLS que você precisa. As opções são as seguintes:

   • TLS v1.0: a versão padrão. As solicitações que usam o TLS v1.0 ou posterior podem acessar o nome de domínio.
   • TLS v1.1: Somente solicitações usando TLS v1.1 ou posterior podem acessar o nome de domínio.
   • TLS v1.2: Somente solicitações usando TLS v1.2 ou posterior podem acessar o nome de domínio.

8. Clique em OK.

Verificação

Se Minimum TLS Version estiver definida como TLS v1.2, o site pode ser acessado por conexões protegidas pelo TLS v1.2 ou posterior, mas não pode ser acessado por conexões protegidas pelo TLS v1.1 ou anterior.