ใบรับรองของคุณแข็งแรงหรือไม่?

สำหรับเซิร์ฟเวอร์ SSL/TLS มาตรฐานการให้คะแนนที่ถูกใช้กว้างขวางและน่าเชื่อถือที่สุดมาจาก SSL Server Test ของ SSL Labs โดยประเมินการตั้งค่า TLS ฝั่งเซิร์ฟเวอร์ ไม่ใช่ไฟล์ใบรับรอง

ระบบให้คะแนนผสมหลายมิติแล้วออกมาเป็นเกรดตัวอักษรตั้งแต่ A+ ถึง F และ CertH แมปผลการตรวจของตนเข้ากับความหมายของเกรดชุดเดียวกัน

ระดับและความหมาย

A+ยอดเยี่ยม

การตั้งค่าเกือบสมบูรณ์: TLS 1.3 การเข้ารหัสที่แข็งแรง forward secrecy ครบ (PFS) และเปิด HSTS อย่างถูกต้อง ตัวเลือกแรกสำหรับการเงิน การชำระเงิน และธุรกิจที่อ่อนไหวสูง

Aดี

ความปลอดภัยมั่นคง มีปัญหาเล็กน้อยเท่านั้น เช่น ไม่มี HSTS preload หรือยังไม่ได้ใช้ TLS 1.3 เต็มที่ เกรดที่แนะนำทั่วไป

A-พอใช้

ความปลอดภัยอยู่ในเกณฑ์รับได้แต่มีปัญหาชัดเจน ตามมาตรฐานปัจจุบัน การไม่มี TLS 1.3 จำกัดเกรดสูงสุดไว้ที่ A-

Bต้องปรับปรุง

ปัญหาที่แก้ได้: ยังรองรับ TLS 1.1 ไม่มี HSTS หรือไม่มี PFS

Cแย่

ช่องโหว่ชัดเจน: รองรับ TLS 1.0 หรือใช้การเข้ารหัสอ่อนอย่าง RC4 / 3DES

D/Eแย่มาก

จุดอ่อนร้ายแรงหรือถึงตาย: รองรับ SSLv3 ลายเซ็น SHA-1 ที่เลิกใช้แล้ว หรือคีย์ RSA 1024 บิต

Fไม่ผ่าน

ล้มเหลวร้ายแรง: ช่องโหว่ที่ใช้โจมตีได้ หรือใบรับรองไม่ตรงกับชื่อโฮสต์

Tปัญหาความเชื่อถือ

เชื่อถือเชนใบรับรองไม่ได้ หรือเกรดนี้ใช้กับบริการ STARTTLS

Mไม่ตรงกัน

ชื่อสามัญของใบรับรองไม่ตรงกับชื่อโฮสต์ที่ตรวจ

ห้ามิติการให้คะแนน

คะแนนถ่วงน้ำหนักจากห้าด้านนี้:

การรองรับโปรโตคอล

TLS เวอร์ชันใดเปิดหรือปิดอยู่ โปรโตคอลเก่า (SSLv2/v3, TLS 1.0/1.1) เสียคะแนน — ควรเปิดเฉพาะ TLS 1.2 และ 1.3

ความแข็งแรงของการเข้ารหัส

ความแข็งแรงของชุดรหัสลับ ปิดการเข้ารหัสว่าง RC4 และ 3DES ควรใช้ AES-GCM และ ChaCha20

การแลกคีย์

ความปลอดภัยของการแลกคีย์ การไม่มี forward secrecy (PFS) ทำให้คะแนนลดลงมาก ควรใช้ชุด ECDHE

ใบรับรอง

การตรวจสอบความถูกต้องของใบรับรองเอง ความล้มเหลวใด ๆ (หมดอายุ ชื่อไม่ตรง ฯลฯ) อาจทำให้คะแนนเป็นศูนย์ ต้องมั่นใจว่าคีย์ยาวพอ (RSA ≥ 2048 บิต, ECC ≥ 256 บิต) และใช้อัลกอริทึมลายเซ็นที่ปลอดภัยเช่น SHA-256

ฟีเจอร์ความปลอดภัย

กลไกความปลอดภัยเพิ่มเติม การเปิด HSTS และ OCSP Stapling คือกุญแจสู่ A+

ควรทราบ

วัดการตั้งค่า ไม่ใช่แค่ใบรับรองคะแนนสะท้อนภาพรวมของ TLS ใบรับรองที่ใช้ได้บนเซิร์ฟเวอร์ที่ตั้งค่าผิดก็ยังได้คะแนนต่ำ
มาตรฐานเปลี่ยนได้SSL Labs ปรับกฎเป็นระยะเพื่อรับมือภัยใหม่ เช่น เพิ่มน้ำหนักให้ TLS 1.3 และ HSTS เมื่อไม่นานมานี้
เครื่องมืออาจต่างกันเล็กน้อยการนำไปใช้ต่างกันเล็กน้อยแม้ทำตามมาตรฐาน SSL Labs (เช่น วิธีที่ Qualys CertView จัดการ forward secrecy)