OpenSSL 可以列出 websocket 服务器支持的所有加密算法吗？

Question

有没有办法通过命令行将 websocket 端点/URL 提供给 OpenSSL，它会列出 websocket 服务器支持的所有各种加密算法？

我确定我在某个地方看到过这个但再也找不到了

Answer 1

不可能向 TLS 服务器询问所有支持的密码。 我们所能做的就是探测服务器的特定密码，并观察它是否报告服务器将支持该密码。 对于 openssl 命令行，这意味着使用openssl s_client -no_tls1_3 -cipher...来探测 TLS 1.2 和更低的密码，使用 openssl openssl s_client -tls1_3 -ciphersuites... -tls1_3 -ciphersuites... 来探测 TLS 1.3 密码。

成功握手的示例：

$ openssl s_client -no_tls1_3 -cipher AES128-GCM-SHA256 -connect google.com:443
...
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : AES128-GCM-SHA256

对于失败的握手：

$ openssl s_client -no_tls1_3 -cipher AES128-SHA256 -connect google.com:443
...
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : 0000

但是，这种方法有几个限制：

• 只能探测正在使用的openssl版本支持的密码，见openssl ciphers -V
• 某些服务器可能会将特定密码限制为特定 TLS 协议版本，例如仅使用 TLS 1.0 的较弱密码。 因此，在探测时还必须遍历各种 TLS 协议版本
• 某些服务器仅在客户端宣布支持特定 ECC 曲线时才限制密码
• 某些服务器在同一个 IP 地址上的不同域有不同的配置

因此，对于成功的测试，可以确保密码得到支持。 对于不成功的测试，不能完全确定密码不受支持，因为它可能仅在特定上下文中受支持。 对于未经测试的密码，人们不知道这些是否受支持。