通过在IIS5中禁用SSL 2.0和PCT 1.0，是否有失去销售的风险？

说明：由于无法在Web服务器上禁用SSL 2.0或者PCT 1.0，因此客户无法通过SSL连接以完成电子商务交易，将损失销售收入。

Microsoft kbase文章：http://support.microsoft.com/kb/187498

解决方案

回答

只有我们才能真正回答这个问题。客户对我们网站的体验将由他们的浏览器来介导。查找浏览器信息的第一处是用于访问网站的用户代理列表。希望我们有一个不错的日志分析器，例如Analog，Weblog，Google Analytics，WebTrends等。这是第一个查找的地方，应该使我们对一般社区支持的SSL级别有所了解。

我们可能还需要更改应用程序，以检查用户浏览器所支持的SSL级别，这些浏览器已进入网站的"完整电子商务交易"部分。这是确定我们是否拒绝客户的最佳方法。

请记住，服务器和客户端之间会自动协商SSL级别(首先使用最佳加密)，因此我们不必禁用较早的版本，但可以向用户弹出一条消息，鼓励他们进行升级。

回答

现代浏览器似乎根本不支持SSLv2(Google Chrome，Opera 9.52，Firefox)，或者默认情况下将其禁用(IE7，IE8)。

就是说，我们担心使用比现代少得多的Web浏览器的人失去业务吗？

更重要的是，我们是否担心客户的安全？即使他们只能使用SSLv2进行连接，我们是否也希望他们使用已知不安全的协议与我们执行安全交易(请参阅Google)？

作为计算机专业人员，我会毫不犹豫地向管理层建议禁用SSLv2. 我将由bean柜台来决定他们是否认为额外的收入值得承担潜在的责任。

回答

大概我们使用SSL保护用户免受中间人攻击或者其他攻击，是吗？ SSLv2对此没有用。禁用它-使用不支持SSLv3或者TLS的浏览器的用户数量正在减少，并且使他们成为别人的问题要比解释为什么尼日利亚的某人使用他们的信用卡更容易。

回答

不能。完全支持SSLv2的用户数量(仅SSLv2少得多)是微不足道的。自1996年以来，它已经过时，并且已被禁用，甚至没有被包含在所有具有重要意义的现代浏览器中。