从php curl https请求中删除SCSV Cipher Suite

Question

在ubuntu服务器中使用php-curl发出https请求时，我发现它添加了一个额外的密码套件，该套件标识为“ EMPTY-RENEGOTIATION-INFO-SCSV”。 我知道这是一个伪造的密码套件，不过，我想从https请求中删除此密码套件。 是否有任何curlopt参数或openssl扩展或apache配置文件可用来停止此默认行为。 谢谢

Answer 1

RFC 5746第3.3节中记录了此“密码”。 这是一种对抗CVE-2009-3555和其他地方描述的前缀攻击的方法。

This SCSV is not a true cipher suite (it does not correspond to any
valid set of algorithms) and cannot be negotiated. Instead, it has
the same semantics as an empty "renegotiation_info" extension, as
described in the following sections. Because SSLv3 and TLS
implementations reliably ignore unknown cipher suites, the SCSV may
be safely sent to any server.

因此，您不必使用curl提供的常规密码套件选项（ CURLOPT_SSL_CIPHER_LIST ）来禁用/启用此功能，而是需要让TLS库允许不安全的重新协商。

我不认为PHP允许您这样做，并且libcurl没有为其提供选项，因此我相信您必须修补C源代码才能实现它。

OpenSSL的 SSL_CTX_set_options() 文档中对此也SSL_CTX_set_options()进一步描述。