Apprenez à configurer Cloudflare pour répondre aux exigences de l’analyse PCI et découvrez les mesures d’atténuation mises en place par Cloudflare pour les versions antérieures de TLS/SSL.
Vue d'ensemble
TLS 1.0 et TLS 1.1 ne suffisent pas à protéger les informations, en raison de vulnérabilités connues. Pour les clients Cloudflare, plus particulièrement, le principal impact de PCI est que TLS 1.0 et TLS 1.1 sont insuffisants pour sécuriser le trafic lié aux cartes de paiement.
Les normes PCI préconisent l’utilisation de TLS 1.2 ou une version plus récente.
Vous pouvez également consulter les mesures d’atténuation mises en œuvre par Cloudflare contre les vulnérabilités de TLS 1.0 et TLS 1.1.
Définissez la version minimale de TLS sur TLS 1.2
Pour configurer votre domaine Cloudflare afin qu’il autorise uniquement les connexions utilisant TLS 1.2 ou des protocoles plus récents :
1. Connectez-vous au tableau de bord Cloudflare.
2. Cliquez sur le compte et l'application Cloudflare concernés.
4. Ouvrez SSL/TLS > Edge Certificates (Certificats Edge).
5. Pour Minimum TLS Version (Version minimale de TLS), sélectionnez TLS 1.2 ou une version plus récente.
Mesures d’atténuation de Cloudflare contre les vulnérabilités connues de TLS
Cloudflare applique différentes mesures de protection contre les vulnérabilités connues des versions de TLS antérieures à TLS 1.2. Par exemple, Cloudflare ne prend pas en charge les fonctionnalités suivantes :
- Compression d’en-tête dans TLS
- Compression d’en-tête dans SPDY 3.1
- RC4
- SSL 3.0
- Renégociation avec les clients
- Suites cryptographiques DHE
- Caractères de chiffrement pour l’exportation
Les mesures d’atténuation de Cloudflare offrent une protection contre plusieurs attaques :
- CRIME
- BREACH
- POODLE
- Faiblesses cryptographiques de RC4
- Attaques par renégociation SSL
- Attaques par déclassement de protocole
- FREAK
- LogJam
- 3DES est entièrement désactivé pour TLS 1.1 et TLS 1.2, et Cloudflare implémente des mesures d’atténuation pour TLS 1.0.
Cloudflare fournit des mesures d’atténuation supplémentaires pour les attaques suivantes :
- Heartbleed
- Lucky Thirteen
- Vulnérabilité d’injection CCS
Cloudflare a appliqué des correctifs à tous les serveurs pour contrer ces vulnérabilités. En outre, des règles gérées du pare-feu WAF permettent d’atténuer plusieurs de ces vulnérabilités, notamment Heartbleed et ShellShock.
ROBOT (Return Of Bleichenbacher’s Oracle Threat)
Les analyses de sécurité identifiant la présence de ROBOT sur Cloudflare sont un faux positif. Cloudflare vérifie le remplissage en temps réel et bascule vers une clé de session aléatoire si le remplissage est incorrect.
Sweet32 (CVE-2016-2183)
Le protocole TLS (Transport Layer Security) est une vulnérabilité de l'algorithme de chiffrement Triple DES (3DES). Sweet32 n'est pour le moment qu'une attaque spéculative, aucun cas réel n'a été signalé à ce jour. Cloudflare a atténué manuellement la vulnérabilité du TLS 1.0 de la manière suivante :
- Les auteurs d’attaques doivent collecter 32 Go de données depuis une session TLS unique
- Cloudflare force les nouvelles clés de session TLS 1.0 sur le chiffrement 3DES affecté bien avant que 32 Go de données ne soient collectés