c++ - SSL_CTX_set_cipher_list() 没有影响

Question

我在用 C 语言开发的服务器上使用 OpenSSL。

OpenSSL 在我的源代码中以下列方式调用:

SSL_CTX* InitServerCTX(void)
{
    SSL_METHOD *method;
    SSL_CTX *ctx;

    OpenSSL_add_all_algorithms();  /* load & register all cryptos, etc. */
    SSL_load_error_strings();   /* load all error messages */
    method = TLSv1_2_server_method();  /* create new server-method instance */
    ctx = SSL_CTX_new(method);   /* create new context from method */
    if ( ctx == NULL )
    {
        ERR_print_errors_fp(stderr);
        abort();
    }
    return ctx;
}

int main(int count, char *Argc[])
{   
    SSL_CTX *ctx;
    int server;
    char *portnum;

    // Initialize the SSL library
    SSL_library_init();
    ctx = InitServerCTX();        /* initialize SSL */
    ...
}

我用 ssllabs.com 测试了我的服务器.我在我的服务器上支持的密码中遇到了弱点。

我尝试在启动上下文后添加以下行

SSL_CTX_set_cipher_list(ctx, "ALL:!NULL-MD5:!NULL-SHA:!NULL-RSA");

但没有任何改变!

如何在我的服务器中禁用这些弱密码？

Answer 1

 SSL_CTX_set_cipher_list(ctx, "ALL:!NULL-MD5:!NULL-SHA:!NULL-RSA");

此密码设置不会禁用典型的弱密码。相反:这实际上启用了所有密码(由于 ALL)，包括许多弱密码，并且仅禁用极少数 NULL 密码。

至少您应该使用HIGH 而不是ALL。可以找到更好的建议 at the Mozilla server configuration .