OpenSSL 명령 줄을 사용하여 프로토콜을 확인하십시오.

최근의 허점이있는 결함에 비추어 필자는 연결하는 다양한 시스템 (전자 메일, 로그인 페이지 등)에 대한 분석을 시도하고 있습니다. OpenSSL 명령 줄 도구를 사용하여 연결하는 시스템이 사용하는 프로토콜을 확인하려고합니다. 응답의OpenSSL 명령 줄을 사용하여 프로토콜을 확인하십시오.

부분은 다음과 같습니다

... 
SSL-Session: 
    Protocol : TLSv1 
...

내가 필요로하는 모든이 서비스는 OpenSSL을 (특히 버그가 1.0.1 버전)를 사용하지 않는 것을 확인하기 위해인가요? (나는 그것이 충분하지 않다고 생각합니다. 내가 아는 서버와 Openssl 0.9.8을 사용하고 있고 위에 표시된 것과 같은 문자열로 응답했습니다.)

출처

2014-04-13 Cronk

스택 오버플로가 프로그래밍을위한 사이트입니다 개발 질문. 이 질문은 프로그래밍이나 개발에 관한 것이 아니기 때문에 주제와는 거리가 먼 것처럼 보입니다. 도움말 센터에서 [여기에서 내가 질문 할 수있는 항목은 무엇입니까?] (http://stackoverflow.com/help/on-topic)를 참조하십시오. 아마도 [Unix & Linux Stack Exchange] (http://unix.stackexchange.com/) 나 [Information Security Stack Exchange] (http://security.stackexchange.com/)가 더 나은 곳이 될 것입니다. – jww

TLSv1은 프로토콜 TLS 버전 1 반면 NSS, GnuTLS, PolarSSL은 프로토콜의 구현입니다. 일반적으로 SSL 구현 또는 다른 버전에서 구현의 버전이 실행중인 일반 TLS 대화 상자에서만 감지 할 수 없으므로 사용 가능한 도구를 사용하여 서버가 취약한 지 확인하는 것이 좋습니다.

-tlsextdebug 옵션을 openssl s_client으로 사용하면 다른 쪽에서 지원하는 TLS 확장을 찾을 수 있습니다. 취약한 버전은 대개 심장 박동 확장 기능을 지원함을 보여 주지만 그다지 중요하지 않습니다. 물론 고정 버전도이 확장을 지원합니다. 확장에 대한 지원이 광고되는 경우 openssl s_client -tlsextdebug -connect ...의 출력이 찾기 :

TLS 서버 확장 "하트 비트"(ID = 15), LEN = 1

출처

2014-04-13 17:29:28

대상 시스템에서 사용중인 버전을보고하는 것이 더 확실 할 것으로 기대하고있었습니다. 어떤면에서는 기본 메커니즘이 무엇인지, API 만 준수 하는지를 알려주지 않는다고 생각합니다. – Cronk

SSL은 서버 버전, PHP 버전 등의 정보를 자주 얻을 수있는 HTTP와 비교할 때 그다지 슬림 한 프로토콜이 아니며 필요한 정보 만 제공합니다. 어떤 프로토콜 버전이 사용되고 어느 확장이 이해되는지. –

OpenSSL 명령 줄을 사용하여 프로토콜을 확인하십시오.

답변

관련 문제