security - 从 openssl 中删除弱密码

Question

我正在尝试从 openssl ciphersuites 列表中删除弱密码。当我运行“openssl ciphers -v”时，我也看到了带有 SSLv3 和 TLSv1 的密码。我想避免使用弱密码并将密码列表限制为仅 TLSv1.2 及更高版本。
有什么办法可以通过更新 openssl.cnf 文件来做到这一点。
我尝试了 https://github.com/openssl/openssl/issues/7562 的方法和 https://www.openssl.org/docs/man1.1.1/man5/config.html

openssl_conf = default_conf

[default_conf]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
MinProtocol = TLSv1.2

通过上述配置，当我运行“openssl ciphers -v”命令时，我希望只看到 TLSv1.2 和 TLSv1.3 密码，但我看到列出的密码没有变化，并且所有弱密码也都存在。
我们可以通过从 openssl 代码中删除密码套件列表并构建和安装它来限制密码套件列表。请建议是否有其他更简单的方法。
来自 openssl 手册页 - https://www.openssl.org/docs/man1.1.1/man5/config.html , 有这样的语句'如果存在名为 system_default 的系统默认配置，将在 SSL_CTX 结构的任何创建期间应用。
这意味着，这些 openssl.conf 更改是否仅适用于证书文件生成而不适用于 openssl 执行？
感谢您对我的理解的任何帮助或澄清。

Answer 1

我们可以通过更改 openssl.cnf 文件只获得所需的密码。
在文件顶部添加此默认 conf 行

# System default
openssl_conf = default_conf

在文件底部的 conf 下附加。

[default_conf]
ssl_conf = ssl_section

[ssl_section]
system_default = system_default_section

[system_default_section]
CipherString = ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384
Ciphersuites = TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256

我用了 密码套件 指定 TLSv1.3 密码和 密码串 限制其他版本。