☰

如何确定 SSL 密码强度

tag-icon • tag-icon centos centos6 pci-dss ssl
如何确定 SSL 密码强度

我已更新 Apache2 配置中的 ssl.conf 文件，以使用以下内容SSLCipherSuite

SSLProtocol all -SSLv2
SSLCipherSuite HIGH:MEDIUM:!ADH

然而 PCI 扫描似乎检测到 WEAK 和 MEDIUM 密码仍然处于启用状态。

但是，我已经重新启动了 Apache，但却没有任何效果。

我希望能够探测服务器以查看它允许哪些密码，而不必每次进行更改时都等待 PCI 扫描运行。我该怎么做？

答案1

indiv 发布了一个脚本这里它可以告诉您网站接受哪些密码套件。应该可以满足您的目的。

#!/usr/bin/env bash

# OpenSSL requires the port number.
SERVER=192.168.1.11:443
DELAY=1
ciphers=$(openssl ciphers 'ALL:eNULL' | sed -e 's/:/ /g')

echo Obtaining cipher list from $(openssl version).

for cipher in ${ciphers[@]}
do
echo -n Testing $cipher...
result=$(echo -n | openssl s_client -cipher "$cipher" -connect $SERVER 2>&1)
if [[ "$result" =~ "Cipher is " ]] ; then
  echo YES
else
  if [[ "$result" =~ ":error:" ]] ; then
    error=$(echo -n $result | cut -d':' -f6)
    echo NO \($error\)
  else
    echo UNKNOWN RESPONSE
    echo $result
  fi
fi
sleep $DELAY
done

您还可以使用 Qualys 的SSL 扫描器。它会告诉你相同的信息。

答案2

openssl cipherscipherspec将告诉您 openssl 将把您的密码规范字符串转换成什么。用于ciphers -v查看列出的密码的详细信息。

因此，在我的 CentOS 6 系统上，对于您列出的密码字符串，我得到：

openssl 密码 'HIGH:MEDIUM:!ADH'

DHE-RSA-AES256-SHA：DHE-DSS-AES256-SHA：DHE-RSA-CAMELLIA256-SHA：DHE-DSS-CAMELLIA256-SHA：AES256-SHA：CAMELLIA256-SHA：PSK-AES256-CBC-SHA：EDH-RSA-DES-CBC3-SHA：EDH-DSS-DES-CBC3-SHA：DES-CBC3-SHA：DES-CBC3-MD5：PSK-3DES-EDE-CBC-SHA：KRB5-DES-CBC3-SHA：KRB5-DES-CBC3 -MD5：DHE-RSA-AES128-SHA：DHE-DSS-AES128-SHA：DHE-RSA-CAMELLIA128-SHA：DHE-DSS-CAMELLIA128-SHA：AES128-SHA：CAMELLIA128-SHA：PSK-AES128-CBC-SHA：DHE-RSA-SEED-SHA：DHE-DSS-SEED-SHA：SEED-SHA：RC2-CBC-MD5：RC4-SHA：RC4-MD5：RC4-MD5：PSK-RC4-SHA：KRB5-RC4-SHA：KRB5-RC4-MD5

和

openssl ciphers -v 'HIGH:MEDIUM:!ADH'

DHE-RSA-AES256-SHA SSLv3 Kx=DH Au=RSA Enc=AES(256) Mac=SHA1
DHE-DSS-AES256-SHA SSLv3 Kx=DH Au=DSS Enc=AES(256) Mac=SHA1
DHE-RSA-CAMELLIA256-SHA SSLv3 Kx=DH Au=RSA Enc=Camellia(256) Mac=SHA1
DHE-DSS-CAMELLIA256-SHA SSLv3 Kx=DH Au=DSS Enc=Camellia(256) Mac=SHA1
AES256-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(256) Mac=SHA1
CAMELLIA256-SHA SSLv3 Kx=RSA Au=RSA Enc=Camellia(256) Mac=SHA1
PSK-AES256-CBC-SHA SSLv3 Kx=PSK Au=PSK Enc=AES(256) Mac=SHA1
EDH-RSA-DES-CBC3-SHA SSLv3 Kx=DH Au=RSA Enc=3DES(168) Mac=SHA1
EDH-DSS-DES-CBC3-SHA SSLv3 Kx=DH Au=DSS Enc=3DES(168) Mac=SHA1
DES-CBC3-SHA SSLv3 Kx=RSA Au=RSA Enc=3DES(168) Mac=SHA1
DES-CBC3-MD5 SSLv2 Kx=RSA Au=RSA Enc=3DES(168) Mac=MD5
PSK-3DES-EDE-CBC-SHA SSLv3 Kx=PSK Au=PSK Enc=3DES(168) Mac=SHA1
KRB5-DES-CBC3-SHA SSLv3 Kx=KRB5 Au=KRB5 Enc=3DES(168) Mac=SHA1
KRB5-DES-CBC3-MD5 SSLv3 Kx=KRB5 Au=KRB5 Enc=3DES(168) Mac=MD5
DHE-RSA-AES128-SHA SSLv3 Kx=DH Au=RSA Enc=AES(128) Mac=SHA1
DHE-DSS-AES128-SHA SSLv3 Kx=DH Au=DSS Enc=AES(128) Mac=SHA1
DHE-RSA-CAMELLIA128-SHA SSLv3 Kx=DH Au=RSA Enc=Camellia(128) Mac=SHA1
DHE-DSS-CAMELLIA128-SHA SSLv3 Kx=DH Au=DSS Enc=Camellia(128) Mac=SHA1
AES128-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(128) Mac=SHA1
CAMELLIA128-SHA SSLv3 Kx=RSA Au=RSA Enc=Camellia(128) Mac=SHA1
PSK-AES128-CBC-SHA SSLv3 Kx=PSK Au=PSK Enc=AES(128) Mac=SHA1
DHE-RSA-SEED-SHA SSLv3 Kx=DH Au=RSA Enc=SEED(128) Mac=SHA1
DHE-DSS-SEED-SHA SSLv3 Kx=DH Au=DSS Enc=SEED(128) Mac=SHA1
SEED-SHA SSLv3 Kx=RSA Au=RSA Enc=SEED(128) Mac=SHA1
RC2-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC2(128) Mac=MD5
RC4-SHA SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=SHA1
RC4-MD5 SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5
RC4-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5
PSK-RC4-SHA SSLv3 Kx=PSK Au=PSK Enc=RC4(128) Mac=SHA1
KRB5-RC4-SHA SSLv3 Kx=KRB5 Au=KRB5 Enc=RC4(128) Mac=SHA1
KRB5-RC4-MD5 SSLv3 Kx=KRB5 Au=KRB5 Enc=RC4(128) Mac=MD5

相关内容