主页 / server / 问题 / 635189
Accepted
Alan Storm
Asked: 2014-10-11 13:47:28 +0800 CST

nginx 中的密码字符串语法

  • 772

在 nginx 配置文件中，您可以像这样配置 SSL 密码列表

ssl_ciphers                HIGH:!aNULL:!eNULL:!LOW:!ADH:!RC4:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS;

这个密码串的语法是什么？也就是说，我知道（或者认为我知道，如果我错了，请纠正我）这个字符串旨在提供可能的 SSL 密码列表，并为它们提供优先级。文档不太擅长的是解释这个字符串的格式。

具体问题

  • 是!否定的吗？也就是说，是否!DSS意味着不使用DSS？还是!DSS和密码一样？

  • :字符是分隔符吗？那就是密码列表“HIGH，！aNULL，！eNULL等......”的上方，或者:意味着其他什么

  • 是否HIGH与LOW密码相同，或者它们是某种特殊的元指令

  • 上图中没有，但我见过这样的字符串AES256-GCM-SHA384:ECDHE-RSA-RC4-SHA:。字符是-密码名称的一部分，还是有特殊含义？

是否有资源可以解释这个字符串是如何工作的，或者在这种情况下，期望使用该字符串的人也应该阅读 nginx 源代码以了解它是如何工作的？

nginx

2 个回答

  1. Best Answer

    此语法来自 OpenSSL。请参阅密码列表格式。

    再往下，它列出了不同的密码，这些元密码像HIGH

    摘抄：

    密码列表由一个或多个用冒号分隔的密码字符串组成。逗号或空格也是可接受的分隔符，但通常使用冒号。

    实际的密码字符串可以采用几种不同的形式。

    它可以包含单个密码套件，例如 RC4-SHA。

    它可以表示包含某种算法的密码套件列表，或某种类型的密码套件。例如，SHA1 代表使用摘要算法 SHA1 的所有密码套件，而 SSLv3 代表所有 SSL v3 算法。

    密码套件列表可以使用 + 字符组合成一个密码字符串。这用作逻辑与操作。例如，SHA1+DES 代表所有包含 SHA1 和 DES 算法的密码套件。

    每个密码字符串前面可以有选择地使用字符 !、- 或 +。

    如果 ！使用，则密码将从列表中永久删除。即使明确说明，删除的密码也永远不会重新出现在列表中。

    如果使用 - 则密码将从列表中删除，但部分或全部密码可以通过以后的选项再次添加。

    如果使用 +，则密码将移动到列表的末尾。此选项不会添加任何新密码，它只会移动与现有密码匹配的密码。

    ...

    • 5

  2. Nginxssl_ciphers指令使用OpenSSL 密码列表格式。

    此密码列表被描述为一个或多个密码字符串，通常由冒号或逗号分隔（OpenSSL 也支持空格，但您必须使用 nginx 将列表括在引号中）。

    密码字符串是特定密码套件或分组在关键字下的密码套件。

    默认情况下，OpenSSL 带有一个在库编译时确定的默认密码列表，并且出于明显的安全目的，它不包括未经加密或身份验证的密码套件。它应该ALL:!aNULL:!eNULL与 OpenSSL 1.0 一样。

    例如，密码字符串HIGH表示所有密码套件都使用大于 128 位的密钥提供加密，而密码字符串LOW与使用 56 或 64 位密钥的密码套件匹配。此外，AES256-GCM-SHA384和ECDHE-RSA-RC4-SHA是特定的密码套件。

    符号!表示当服务器在握手阶段与客户端交换支持的密码套件时删除密码套件组或特定密码套件。例如!eNULL，and!aNULL意味着删除不提供加密和身份验证的密码套件。

    • 5

相关问题