Ubuntu 20.04——OpenSSL 安全级别 1 不起作用

Question

不，这告诉你默认图书馆的安全级别。

openssl version -f（或-a）告诉你编译标志OpenSSL 的编译环境如下：

   openssl-version - print OpenSSL version information
   -a  All information, this is the same as setting all the other flags.
   -f  Compilation flags.

还有这些的效果是：

在编译 OpenSSL 1.1.0 或更高版本时，OPENSSL_TLS_SECURITY_LEVEL 选项配置默认安全级别，为所有库用户建立默认最低安全要求。

似乎没有一个明显的方法可以让 OpenSSL 报告其当前有效使用命令行设置安全级别。但是你可以（相当粗暴地）使用openssl ciphers -v -s命令列出特定级别或当前级别支持的密码，并计算其数量以确定当前级别。例如：

$ openssl ciphers -s -v ALL | wc -l
74

这说明当前默认配置中启用了 74 种密码。然后您可以尝试指定各种安全级别：

$ openssl ciphers -s -v ALL:@SECLEVEL=0 | wc -l
86
$ openssl ciphers -s -v ALL:@SECLEVEL=1 | wc -l
74
$ openssl ciphers -s -v ALL:@SECLEVEL=2 | wc -l
74
$ openssl ciphers -s -v ALL:@SECLEVEL=3 | wc -l
58

这告诉您安全级别 2 和 3 都有 74 种可用密码（即，它们在此系统上是相同的），因此您当前的安全级别是 2 或 3。

你也可以编写一个小程序来调用SSL_CTX_获取安全级别：

cat > seclevel.c <<EOF
#include <openssl/ssl.h>

int main()
{
    SSL_CTX* ctx = SSL_CTX_new(TLS_client_method());
    printf("%d\n", SSL_CTX_get_security_level(ctx));
    return 0;
}
EOF
gcc -o seclevel seclevel.c -lssl
./seclevel

这将打印当前有效的安全级别（例如2）。

您可以创建一个openssl.cnf覆盖默认安全级别的文件（例如上面问题中的文件），然后使用该程序OPENSSL_CONF指向该文件来检查它是否有效：

cat > openssl-custom.cnf
[paste example from the question above]
EOF
OPENSSL_CONF=./openssl-custom.cnf ./seclevel

其中应该输出1，因为上面的示例配置设置了SECLEVEL=1。

Answer 1