Início / server / Perguntas / 642464
Accepted
dotancohen
Asked: 2014-11-07 03:12:02 +0800 CST

Determinando se um certificado SSL é afetado pela eliminação do SHA-1

  • 772

O Google Chrome começará a avisar os usuários de que sua conexão SSL é insegura nas seguintes condições:

  1. O certificado usa o algoritmo de hash SHA1 e
  2. O certificado expira em ou após 2016-01-01 (ou 2017-01-01 por diferentes fontes)

Portanto, estou tentando criar um script de método para determinar se um certificado é afetado. Aqui está um exemplo de um certificado SHA1 em outro servidor que mantenho, que expira no prazo 'seguro':

$ curl -v --silent https://example.com/ 2>&1 | grep "expire\|SSL connection using"
* SSL connection using DHE-RSA-AES256-GCM-SHA384
*        expire date: 2015-07-20 00:00:00 GMT

Como eu poderia ter determinado que este certificado é SHA1 da string DHE-RSA-AES256-GCM-SHA384? Isso 256na string faz com que pareça que está usando um algoritmo de 256 bits, embora eu saiba que não é porque eu mesmo fiz a solicitação de certificado com $ openssl req -new -newkey rsa:2048 -nodes. Pesquisando, encontrei este recurso ou cifras suportadas , mas não vejo como poderia determinar a força da cifra desse documento.

Como eu poderia determinar a força da cifra via curl, para que eu pudesse fazer o script?

apache-2.2

2 respostas

  1. Best Answer

    Como eu poderia ter determinado que este certificado é SHA1 da string DHE-RSA-AES256-GCM-SHA384

    Você não pode. Essa string apenas descreve o conjunto de cifras usado para criptografia e é independente do próprio certificado. Você deve dar uma olhada no certificado, assim:

    openssl s_client -connect example.com:443 | \
openssl x509 -text -noout |\
grep 'Signature Algorithm\|Not After'
    • 2

  2. Observe que não é suficiente verificar se o certificado contém uma assinatura SHA-2. Você precisa verificar se nenhum dos certificados intermediários na cadeia até a raiz está assinado com SHA-1.

    O NSS apresenta uma variável de ambiente, NSS_HASH_ALG_SUPPORT , que pode ser usada para controlar quais algoritmos de hash estão disponíveis para os programas que usam a biblioteca. Esta variável de ambiente será respeitada por vários programas, incluindo Firefox, e curlse for compilada com suporte NSS (como é, por exemplo, Red Hat Enterprise Linux e Fedora).

    curl -V | fgrep NSS/
env NSS_HASH_ALG_SUPPORT=-SHA-1 curl -v --head https://www.google.com/

    Se curlfor compilado com suporte NSS e um certificado SHA-1 estiver em uso, a saída será semelhante a:

    curl 7.40.0 (x86_64-redhat-linux-gnu) libcurl/7.40.0 NSS/3.18 Basic ECC zlib/1.2.8 libidn/1.29 libssh2/1.5.0
*   Trying 64.233.166.104...
* Connected to www.google.com (64.233.166.104) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
*   CAfile: /etc/pki/tls/certs/ca-bundle.crt
  CApath: none
* Server certificate:
*       subject: CN=www.google.com,O=Google Inc,L=Mountain View,ST=California,C=US
*       start date: Jun 03 09:26:01 2015 GMT
*       expire date: Sep 01 00:00:00 2015 GMT
*       common name: www.google.com
*       issuer: CN=Google Internet Authority G2,O=Google Inc,C=US
* NSS error -8016 (SEC_ERROR_CERT_SIGNATURE_ALGORITHM_DISABLED)
* The certificate was signed using a signature algorithm that is disabled because it is not secure.
* Closing connection 0
curl: (60) The certificate was signed using a signature algorithm that is disabled because it is not secure.
More details here: http://curl.haxx.se/docs/sslcerts.html

curl performs SSL certificate verification by default, using a "bundle"
 of Certificate Authority (CA) public keys (CA certs). If the default
 bundle file isn't adequate, you can specify an alternate file
 using the --cacert option.
If this HTTPS server uses a certificate signed by a CA represented in
 the bundle, the certificate verification probably failed due to a
 problem with the certificate (it might be expired, or the name might
 not match the domain name in the URL).
If you'd like to turn off curl's verification of the certificate, use
 the -k (or --insecure) option.
Exit 60
    • 1

relate perguntas