如何衡量支持 TLS 1.2 的访问者的细分？

Question

我们不赞成在我们的网站上支持 TLS 1.0 和 1.1，因为它们不再被认为是安全的。

我们如何查看受此更改影响的访问者百分比？（即那些不支持 TLS 1.2 的访问者。）

我们使用带有 IIS8 的 Windows Server 2012 R2。

Answer 1

设置第二台服务器（例如虚拟机或同一主机上的第二台守护程序）。使用重写规则来反向代理对第二台服务器的可选内容的请求，例如隐藏在页面上的不可见图像。将第二台服务器配置为仅允许 TLS 1.2；不要热链接到另一个主机名...确保代理，否则它会不安全，所以浏览器可能会发出警告，或者永远不会加载图像。

然后跟踪对图像的请求。没有支持的客户端应该有 SSL/TLS 错误。有支持的客户端会生成一些“200 OK”日志。如果日志没有说明任何有用的信息，请尝试代理到一些 javascript，它可以在成功时执行 AJAX 请求以记录流量（但脚本阻止程序可能会阻止此操作）。

为了在依赖日志有意义之前测试第二台服务器的 ssl/tls 支持，请使用像 nmap 这样的好的测试，它可以列出很多细节。

nmap --script ssl-enum-ciphers example.com