google-chrome - 使用 Openssl S_server 测试 chrome HTTPS

Question

我用 Openssl 写了一个 HTTPS 服务器。使用 Chrome 连接服务器，它有 ERR_CONNECTION_REFUSED。但是使用 Firefox 连接服务器，它工作正常。我关注网站 http://blog.jorisvisscher.com/2015/07/22/create-a-simple-https-server-with-openssl-s_server/
openssl s_server -key key.pem -cert cert.pem -accept 44330 -www结果是一样的。我该如何解决!感谢您阅读此问题!

Answer 1

您的 chrome 可能拒绝连接，因为它不安全(这里 Firefox Developer Edition 也被拒绝)。默认情况下，openssl 使用弱 DH 参数和不受支持的协议(protocol)(如 SSLv3)，您应该添加其他选项来保护您的服务器。

首先，生成更强的 DH 参数:

openssl dhparam -out dhparam.pem 2048

至少用2048，越大越好(我一般用4096)。然后使用此命令运行您的服务器:

openssl s_server -key key.pem -cert cert.pem -accept 44330 \
  -no_ssl3 -dhparam dhparam.pem -www

请注意，SSLv2 也将被弃用(到今年年中，SSLv2 的 PCI 合规性将失败)，并且还有一些不安全的密码。

如果您想要一个非常强大的 dhparam，请考虑安装一个服务来生成更多的熵，例如 haveged(在生成 dhparam 之前):

apt-get install haveged