최근의 허점이있는 결함에 비추어 필자는 연결하는 다양한 시스템 (전자 메일, 로그인 페이지 등)에 대한 분석을 시도하고 있습니다. OpenSSL 명령 줄 도구를 사용하여 연결하는 시스템이 사용하는 프로토콜을 확인하려고합니다. 응답의OpenSSL 명령 줄을 사용하여 프로토콜을 확인하십시오.
부분은 다음과 같습니다
...
SSL-Session:
Protocol : TLSv1
...
TLSv1은 프로토콜 TLS 버전 1 반면 NSS, GnuTLS, PolarSSL은 프로토콜의 구현입니다. 일반적으로 SSL 구현 또는 다른 버전에서 구현의 버전이 실행중인 일반 TLS 대화 상자에서만 감지 할 수 없으므로 사용 가능한 도구를 사용하여 서버가 취약한 지 확인하는 것이 좋습니다.
-tlsextdebug 옵션을 openssl s_client으로 사용하면 다른 쪽에서 지원하는 TLS 확장을 찾을 수 있습니다. 취약한 버전은 대개 심장 박동 확장 기능을 지원함을 보여 주지만 그다지 중요하지 않습니다. 물론 고정 버전도이 확장을 지원합니다. 확장에 대한 지원이 광고되는 경우 openssl s_client -tlsextdebug -connect ...의 출력이 찾기 :
TLS 서버 확장 "하트 비트"(ID = 15), LEN = 1
대상 시스템에서 사용중인 버전을보고하는 것이 더 확실 할 것으로 기대하고있었습니다. 어떤면에서는 기본 메커니즘이 무엇인지, API 만 준수 하는지를 알려주지 않는다고 생각합니다. – Cronk
SSL은 서버 버전, PHP 버전 등의 정보를 자주 얻을 수있는 HTTP와 비교할 때 그다지 슬림 한 프로토콜이 아니며 필요한 정보 만 제공합니다. 어떤 프로토콜 버전이 사용되고 어느 확장이 이해되는지. –
스택 오버플로가 프로그래밍을위한 사이트입니다 개발 질문. 이 질문은 프로그래밍이나 개발에 관한 것이 아니기 때문에 주제와는 거리가 먼 것처럼 보입니다. 도움말 센터에서 [여기에서 내가 질문 할 수있는 항목은 무엇입니까?] (http://stackoverflow.com/help/on-topic)를 참조하십시오. 아마도 [Unix & Linux Stack Exchange] (http://unix.stackexchange.com/) 나 [Information Security Stack Exchange] (http://security.stackexchange.com/)가 더 나은 곳이 될 것입니다. – jww