網站SSL憑證檢測

憑證檢測除了確認憑證的有效性，最主要的目的是要確認您的伺服器憑證是否已正確安裝。

當您輸入檢測的網址，並按下執行按鈕，程式將會連線至伺服器下載相對的憑證檔案，並加以分析。

如果無法下載憑證，可能原因包括：

• 您未安裝憑證。
• 您未將憑證繫結到您的網站。
• 您輸入了錯的網址，例如您的憑證只授權 www.example.tw，但是您輸入的是 example.tw

如果是憑證內容錯誤，可能原因：

• 您申請憑證時輸入的資料有誤。
• 憑證簽發單位(CA)給錯檔案，或是簽發時輸入錯的資料。
• 您未將正確的憑證繫結到您的網站。
• 您的舊憑證到期，未將新的憑證繫結到您的網站。
• 您輸入了錯的網址，例如您的憑證只授權 www.example.tw，但是您輸入的是 example.tw

除了憑證的基本資料，您也可以由右側的詳細資料中，了解憑證的詳細資料以及憑證練。

左下角的憑證狀態則是讓您快速了解網站憑證是使用哪一種驗證方式。

第一個圖示帶表您的憑證是否有效，有效的憑證會出現勾勾，如果有問題的憑證，將會顯示驚嘆號。

第二個圖示代表您的憑證是否經過組織或公司資料驗證。OV 憑證和 EV 憑證這個圖示都會打勾。

第三個圖示代表您的憑證是經過最嚴格的延伸驗證(EV)。

如果您的憑證是 EV 憑證，網址列文字顏色也會變成綠色。

網站安全連線檢測

此一功能測試的項目主要是針對管理者可以自行調校的部分，不包含網站程式漏洞、作業系統漏洞的偵測。

輸入您要檢測的網址，按下執行按鈕，即可完成測試。
測試項目包括：

• 主機標頭
• 網站支援之通訊協定
• 網站支援之安全通道加密組合及其順序

每一項檢測項目除了由測的說明會列出檢測結果，並以顏色區分：

• 黑色：一般狀態
• 綠色：高安全性(推薦)
• 橘色：有潛在風險，建議不用。
• 紅色：不安全，建議立即停用

IIS 安全通道技術設定

※ 此一功能會修改到系統登錄檔，非專業人員請勿執行。

※ 雖然可以恢復系統預設值，建議先在測試環境測試過，再行套用到正式環境。

※ 執行前請先完成 Windows 系統更新，程式只是協助您調校伺服器的設定，並不會幫您修補作業系統的漏洞。

Windows 作業系統是一個多功能、多角色、可組態的作業系統。也就是依據不同的需求，經過組態設定即可扮演不同的角色。您可以把他設定成一台前端的 Web Server、扮演 Middleware 的 Application Server、後端的 DB Server...，但是除了角色扮演外，細節的設定，也是根據不同的需求，可以在方便、相容性、安全性等領域的取捨做調整。

由於 Windows 系統預設值，大多都是以相容性為第一考量，因此就會犧牲了部分的安全。如果您今天訴求的是安全，預設值就不是那麼適合，尤其是安全通道與加密技術的部分。

由於設定相當繁雜，部分設定必須修正登錄檔，這支工具就是要簡化您的設定工作，甚至可一鍵完成所有設定。

程式一執行，將會自動帶入目前系統使用的設定。如果您是進階使用者，您可以自行修改設定，並套用。

如果帶入的資料呈現灰色，表示雖然系統沒有設定，但是預設值是啟用的。您可以明確的啟用或關閉該選項。

您除了可以依需要分別啟用或停用 Protocols, Hashes, Cyphers, Key-Exchanges 等所使用的各項技術或演算法，針對 Cipher Suites 部分，還可以利用上下箭頭調整伺服器選用的優先順序。建議將安全等級較高的調到最上面，伺服器會依據 Client 端支援的程度逐步降級，直到沒有可用的為止。

由於伺服器可能因為作業系統更新增加了其他的 Cypher Suites，這時候您也可以自行新增。

為了方便管理者套用設定，SSL Toolkits 也提供了幾種內建的設定樣板，包括 PCI、PCI 3.1、FIPS 140-2 三種產業安全設定樣板，以及最佳建議樣板。您可以依需要選用，或是自行修改。

您也可以將修改好的設定值回出成自訂樣板，作為日後或其他主機使用。

如果您要回復作業系統最原始的設定，也可以選擇回覆系統預設值。

您也可以在修改過程中，隨使選擇[作用中設定值]這個樣板，SSL Toolkits將會為您帶出程式一開始所帶入的設定值。

安全通道樣板說明

• PCI 1.0

PCI，支付卡產業資料安全標準（Payment Card Industry Data Security Standard，簡稱PCI DSS）是支付卡產業為了保護持卡人資料及交易安全，由VISA、美國運通公司、發現金融服務公司、JCB和萬事達國際組織等五家國際信用卡組織所成立的支付卡產業安全標準協會(Payment Card Industry Security Standard Council, 簡稱PCI SSC)所訂定的標準，所有與支付卡處理相關聯的機構，包括商家（Merchants）、服務供應商（Service providers）、收單機構(Acquirer)及發卡機構(Issuer)都必須符合該標準的要求。選用這的標準，即可讓您的網站符合 PCI 1.0 的標準。

• PCI 3.1

PCI安全標準協會為確保PCI DSS之正確及適用性，通常會在新版標準發佈後2至3年進行更新，PCI 3.1 已於 2015 年發布實施， 支付卡產業安全標準協會也宣布 2018 年 6 月 30 將全面停用 PCI 1.0 標準。選用這的標準，即可讓您的網站符合 PCI 3.0 的標準。

• FIPS 140-2

美國於1994年通過FIPS 140-1規範，並於2001年修正為FIPS 140-2。 「聯邦資訊處理標準」(Federal Information Processing Standards，簡稱FIPS) 為美國聯邦政府制定除軍事機構外，所有政府機構及政府承包商所引用之標準。美國於1994年通過FIPS 140-1規範，並於2001年修正為FIPS 140-2，目前第三版 FIPS 140-3 草案正在審核中。
依美國聯邦政府規定，各單位採購密碼模組相關產品時（例如：數位簽章模組、加解密器、指紋辨識器以及電子護照等），僅限採購通過 FIPS 140-2 驗證之產品。因此資通安全產品廠商若要銷售密碼模組相關產品至聯邦政府，其產品必須通過 FIPS 140-2 驗證。
台灣地區廠商如果要銷售密碼模組相關產品至美國聯邦政府單位，可透過財團法人電信技術中心進行檢測，以取得產品驗證資格。

• 最佳建議

這個樣板的主要參考依據包括：
https://github.com/ssllabs/research/wiki/SSL-and-TLS-Deployment-Best-Practices
https://support.microsoft.com/en-us/help/245030/how-to-restrict-the-use-of-certain-cryptographic-algorithms-and-protocols-in-schannel.dll
另外加上針對個人電腦部分，調整了 secure renegotiation 部分。