web-dev-qa-db-ja.com

CentOS、curl、ECDHEを使用したSSLハンドシェイク

Logjamの脆弱性のために暗号をECDHEに制限したため、Centosマシンからカールを実行できなくなりました。 （Ubuntuで動作します）

$ curl -v https://mysite.mydomain.com
 * Initializing NSS with certpath: sql:/etc/pki/nssdb
 *   CAfile: /etc/pki/tls/certs/ca-bundle.crt   CApath: none
 * NSS error -12286 (SSL_ERROR_NO_CYPHER_OVERLAP)
 * Cannot communicate securely with peer: no common encryption algorithm(s).

Opensslで開くと動作します：

$ openssl s_client -connect mysite.mydomain.com:443 
   SSL-Session:
     Protocol  : TLSv1.2
     Cipher    : ECDHE-RSA-AES256-GCM-SHA384

明示的な暗号、-insecureおよび--tlsv1.2で試しましたが、運がありません

$ curl --ciphers TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 -v https://mysite.mydomain.com
curl: (59) Unknown cipher in list: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

編集：正しいNSS暗号名、および384ビット未満で試行：

curl --ciphers ecdhe_rsa_aes_128_sha_256 https://mysite.mydomain.com
* Connected to xxx (xxx) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
* Unknown cipher in list: ecdhe_rsa_aes_128_sha_256
* Closing connection 0
curl: (59) Unknown cipher in list: ecdhe_rsa_aes_128_sha_256

このバグが見つかりました https://bugzilla.redhat.com/show_bug.cgi?id=1185708 しかし、それを通過するのに役立ちません。

SSLLabsはこれらの暗号をサポートされていると報告します。

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xc030)   ECDH 256 bits (eq. 3072 bits RSA)   FS 256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f)   ECDH 256 bits (eq. 3072 bits RSA)   FS 128
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (0xc028)   ECDH 256 bits (eq. 3072 bits RSA)   FS 256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027)   ECDH 256 bits (eq. 3072 bits RSA)   FS 128
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014)   ECDH 256 bits (eq. 3072 bits RSA)   FS    256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)   ECDH 256 bits (eq. 3072 bits RSA)   FS    128
centossslnsslogjam
1
Bastien974

RHEL/CentOSは、NSSでデフォルトでECCを有効にしません。必要な暗号を明示的に指定する必要があります。

curl --ciphers ecdhe_rsa_aes_128_gcm_sha_256  ....

または、サーバーでサポートされている暗号、およびcurl/NSSのバージョンでもサポートされている暗号。

詳細については、 https://stackoverflow.com/a/31108631/3081018 を参照してください。

明示的な暗号、-insecureおよび--tlsv1.2で試しましたが、運がありません

この問題は証明書の検証とは関係がないため、--insecureは役に立ちません。

curl --ciphers TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

NSSとOpenSSLの暗号名は異なり、NSSバックエンドでcurlを使用しているため、NSS構文を使用する必要があります。暗号の指定方法については https://git.fedorahosted.org/cgit/mod_nss.git/plain/docs/mod_nss.html#Directives を参照してください。

また、NSSを使用したECCのサポートは、curl7.36以降でのみ使用できます。

5
Steffen Ullrich