最近，我的 PCI 评估员告诉我，我的服务器容易受到 BEAST 的攻击，让我失败了。我做了功课，我想改变我们的网络服务器，使其更喜欢 RC4 密码而不是 CBC。我按照我能找到的所有指南...
我将用于弱于 128 位加密的 reg 密钥更改为 Enabled = 0。完全删除了用于较弱加密的 reg 密钥。我下载了 IISCrypto 并取消选中除了 RC4 128 密码和三重 DES 168 之外的所有内容。
我的网络服务器仍然更喜欢 AES-256SHA。IIS 6.0 中是否有一个技巧可以让您的网络服务器更喜欢我不知道的 RC4 密码？似乎在 IIS 7 中，他们很容易解决这个问题，但现在这对我没有帮助！
一个可能的解决方法是完全禁用所有非 RC4 密码套件。这将中断来自选择不使用 RC4 的客户端的连接（可能这种情况非常罕见），但至少它可以保证如果建立连接，那么它将使用不受 BEAST 影响的 RC4。
在真正的SSL/TLS中，服务器应该遵循客户端的偏好顺序：客户端发送的受支持密码套件列表是有序的，服务器应该选择该列表中它也支持的第一个套件。您正在寻找的 BEAST 缓解措施实际上是一种使您的 IIS 有点不礼貌的方法；似乎微软没有在 IIS 6.0 中提供设置。
请注意，Web浏览器可能还包含一个修复程序，称为记录拆分。例如，请参阅Microsoft 的此修复程序；似乎最新的 Internet Explorer 默认会拆分记录，因此即使使用基于 CBC 的密码套件，也不会受到 BEAST 的影响。因此，修复潜在的与 BEAST 相关的漏洞的一种方法是什么都不做，让客户端修复他们的浏览器，无论如何他们都应该这样做（不是最新的 Web 浏览器，这是“自杀”的另一个名称）。毕竟，BEAST 攻击是对客户端的攻击。