Testování připojení SSL pomocí SSLyze, Nmap nebo OpenSSL

Úvod:
OpenSSL je skvělý nástroj pro kontrolu připojení SSL k serverům. Potíž je v tom, když člověk požaduje úplnou kontrolu všech možných šifrovacích protokolů SSL a protokolů používaných serverem. To je místo, kde se SSLyze hodí. Tento nástroj je skript Python, který prohledá cílového hostitele/port pro SSL handshake a nahlásí, co funguje/podporuje a co ne. Bohužel tento krásný nástroj není součástí distribucí Ubuntu/Debian a právě zde se tento příspěvek hodí.

DŮLEŽITÉ: Kromě provedení všech níže uvedených testů je jedna velmi důležitá věc (jak je uvedeno v tomto odkazu) upgradovat OpenSSL na nejnovější verzi následovně:
Uživatelé OpenSSL 1.0.2 by měli upgradovat na 1.0.2g
Uživatelé OpenSSL 1.0.1 by měli upgradovat na 1.0.1s

SSLyze

Instalace závislostí a nástroje
cd /root/bin
wget https://github.com/nabla-c0d3/sslyze/archive/0.13.4.tar.gz
tar fvxz 0.13.4.tar.gz
apt-get install python-pip python-dev
pip install nassl

Pomocí SSLyze
python /root/bin/sslyze-0.13.4/sslyze_cli.py --regular www.itmatrix.eu:443

NMAP

Prohledávání celého serveru na slabá místa včetně slabých verzí SSL pomocí NMAP.
Poznámka: Provedení této operace může trvat dlouho.
apt-get install nmap
nmap -sV -sC www.itmatrix.eu
NEBO lépe (pro kontrolu HTTPS,SMTPS,IMAPS,POP3S)
nmap --script ssl-cert,ssl-enum-ciphers -p 443,465,993,995 www.itmatrix.eu

OpenSSL

Kontrola připojení SSL pomocí OpenSSL
echo 'q' | openssl s_client -host www.itmatrix.eu -port 443
Poznámka: V tomto výše uvedeném případě, protože podpora SSLv2 je normálně pro OpenSSL v distribucích Debian/Ubuntu zakázána, neuvidíte, zda ji server podporuje. Chcete-li to překonat a povolit podporu SSLv2 (pro váš testovací Linux), postupujte podle pokynů na tomto webu:
http://www.hackwhackandsmack.com/?p=46

POZNÁMKA:
Další informace týkající se ochrany před útoky DROWN(SSLv2) nebo POODLE(SSLv3) naleznete na:
https://drownattack.com
http://www.softwaresecured.com/2016/03 /01/how-to-confirm-with-you-are-vulnerable-to-the-drown-attack/
http://www.mogilowski.net/lang/de-de/2014/10/23 /disabling-sslv3-for-poodle-on-debian/
https://www.owasp.org/index.php/Testing_for_Weak_SSL/TLS_Ciphers,_Insufficient_Transport_Layer_Protection_%28OTG-CRYPST-001%29