curl 无法检索 HTTPS 内容：错误：14094410：SSL 例程：ssl3_read_bytes：sslv3 警报握手失败

Question 1

我相信这里实际上有两个有点重叠的问题，都与服务器显然过时或疯狂操作有关。ssllabs 的分析显示它仅支持 SSLv3 和 TLSv1.0 协议，以及仅四种密码套件：

TLS_RSA_WITH_DES_CBC_SHA (0x9)   INSECURE   56
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa)   WEAK  112
TLS_RSA_WITH_RC4_128_MD5 (0x4)   INSECURE   128
TLS_RSA_WITH_RC4_128_SHA (0x5)   INSECURE   128

（在 OpenSSL 命名方案中分别为 DES-CBC-SHA、DES-CBC3-SHA、RC4-MD5 和 RC4-SHA）。

首先，正如 SSLLabs 所指出的，服务器“版本不兼容”；如果你向它发送 ClientHello 提供 1.0 以上的版本在版本 1.0 的记录中（并且其他方面都可以接受）它会协商降低到 1.0，这是应该的*，但是如果您发送此优惠时记录版本为 1.1 或 1.2，就像某些软件那样（但 AFAICT 任何最近的 OpenSSL 都不会这样做），服务器会中止并发出警报 close_notify（这对于此状态是不正确的）。（*：嗯，因为它应该支持 1.0）

其次，它仅支持上述四种密码套件。OpenSSL 的最新版本（特别是 1.1.0g）不再支持单 DES（完全不支持），因为它完全失效了，也不支持 RC4 或三重 DES默认情况下因为各种偏见和普通生日攻击；因此，如果使用 OpenSSL，则没有共同的密码套件，服务器会正确中止并发出警报 handshake_failure。但应该可以启用 RC4 和/或 TDES，除非它们在构建（编译）时配置了。我注意到您的 Windows 版本显示(WinSSL) 此外到OpenSSL/1.1.0g；我不知道这是否意味着这里使用了 schannel（或者根本没有使用），在这种情况下，这可能是--ciphers RC4-SHA（使用 OpenSSL 命名方案）不起作用的原因。

请注意，Windows 程序，尤其是 curl 和 OpenSSL 等“导入”程序，通常不会像 Unbuntu 和大多数 Linux（以及其他 Unix）那样共享库。您可以openssl version在 Windows OpenSSL 上尝试查看它是哪一个；我敢打赌它不是最新的，如果您获得最新版本，它会在命令行中显示相同的问题。

Ubuntu 16.04（我认为是 LTS？）不是最前沿的，它仍然支持最近才弃用的密码是有道理的。

Answer

我相信这里实际上有两个有点重叠的问题，都与服务器显然过时或疯狂操作有关。ssllabs 的分析显示它仅支持 SSLv3 和 TLSv1.0 协议，以及仅四种密码套件：

TLS_RSA_WITH_DES_CBC_SHA (0x9)   INSECURE   56
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa)   WEAK  112
TLS_RSA_WITH_RC4_128_MD5 (0x4)   INSECURE   128
TLS_RSA_WITH_RC4_128_SHA (0x5)   INSECURE   128

（在 OpenSSL 命名方案中分别为 DES-CBC-SHA、DES-CBC3-SHA、RC4-MD5 和 RC4-SHA）。

首先，正如 SSLLabs 所指出的，服务器“版本不兼容”；如果你向它发送 ClientHello 提供 1.0 以上的版本在版本 1.0 的记录中（并且其他方面都可以接受）它会协商降低到 1.0，这是应该的*，但是如果您发送此优惠时记录版本为 1.1 或 1.2，就像某些软件那样（但 AFAICT 任何最近的 OpenSSL 都不会这样做），服务器会中止并发出警报 close_notify（这对于此状态是不正确的）。（*：嗯，因为它应该支持 1.0）

其次，它仅支持上述四种密码套件。OpenSSL 的最新版本（特别是 1.1.0g）不再支持单 DES（完全不支持），因为它完全失效了，也不支持 RC4 或三重 DES默认情况下因为各种偏见和普通生日攻击；因此，如果使用 OpenSSL，则没有共同的密码套件，服务器会正确中止并发出警报 handshake_failure。但应该可以启用 RC4 和/或 TDES，除非它们在构建（编译）时配置了。我注意到您的 Windows 版本显示(WinSSL) 此外到OpenSSL/1.1.0g；我不知道这是否意味着这里使用了 schannel（或者根本没有使用），在这种情况下，这可能是--ciphers RC4-SHA（使用 OpenSSL 命名方案）不起作用的原因。

请注意，Windows 程序，尤其是 curl 和 OpenSSL 等“导入”程序，通常不会像 Unbuntu 和大多数 Linux（以及其他 Unix）那样共享库。您可以openssl version在 Windows OpenSSL 上尝试查看它是哪一个；我敢打赌它不是最新的，如果您获得最新版本，它会在命令行中显示相同的问题。

Ubuntu 16.04（我认为是 LTS？）不是最前沿的，它仍然支持最近才弃用的密码是有道理的。

Question 2

问题出在网站的哈希算法和密码上。至少 RC4 很久以前就被宣布为不安全，所以很多程序都拒绝使用它。此外，一些 SHA 算法也不安全。实际的密码代码可能已从软件中完全删除。

--- 上一个错误答案 ---

您的 Windows OpenSSL 版本缺少用于验证远程服务器的 TLS 证书的受信任的根证书。

这是 Windows CURL 中加载验证证书的行：

* successfully set certificate verify locations:
*   CAfile: D:\dev\curl\bin\curl-ca-bundle.crt

Linux 中也有类似的条目：

* found 148 certificates in /etc/ssl/certs/ca-certificates.crt
* found 594 certificates in /etc/ssl/certs

发生这种情况是因为 Windows OpenSSL 不支持 Windows 证书存储，您必须在那里手动安装证书。

https://maulwuff.de/research/ssl-debugging.html#hdr3.3有关于该问题及其解决方法的一些信息。

Answer