SSL暗号をカール形式に変換する方法は？

Question

official ssl docs curlとは異なる形式で暗号をリストします。たとえば、curlで暗号TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHAを使用する場合は、それを渡す必要がありますcurl --ciphers ecdhe_rsa_3des_sha。一部のマッピングは知っていますが、すべてではありません-たとえば、暗号化TLS_DHE_RSA_WITH_AES_128_GCM_SHA256を使用するには、curlに何を渡す必要がありますか？

Ssl docsの暗号名がcurlが受け入れる暗号名にどのようにマッピングされるかを示すドキュメントを見つけることができる場所はありますか？

編集：私は最終的に私のカールがOpenSSLではなくNSSによって裏付けられていることを発見しました、そして問題は特にNSSの使用に関する適切なドキュメントがないためです- Backed curl。ただし、OpenSSLが同じ暗号を使用する場合とは異なる引数が必要です。だから私の質問はNSSに固有です。

Benubird · Answer

暗号の名前とcurlが引数として期待している名前との間のすべての変換をカバーするドキュメントはありません。

幸い、curlはオープンソースであり、マッピングisはソースコードで利用できます。

将来のサーチャーのために、ここでそれをよりきれいに再現します：

SSL2暗号スイート

<argument> <name> rc4 SSL_EN_RC4_128_WITH_MD5 rc4-md5 SSL_EN_RC4_128_WITH_MD5 rc4export SSL_EN_RC4_128_EXPORT40_WITH_MD5 rc2 SSL_EN_RC2_128_CBC_WITH_MD5 rc2export SSL_EN_RC2_128_CBC_EXPORT40_WITH_MD5 des SSL_EN_DES_64_CBC_WITH_MD5 desede3 SSL_EN_DES_192_EDE3_CBC_WITH_MD5

SSL3/TLS暗号スイート

<argument> <name> rsa_rc4_128_md5 SSL_RSA_WITH_RC4_128_MD5 rsa_rc4_128_sha SSL_RSA_WITH_RC4_128_SHA rsa_3des_sha SSL_RSA_WITH_3DES_EDE_CBC_SHA rsa_des_sha SSL_RSA_WITH_DES_CBC_SHA rsa_rc4_40_md5 SSL_RSA_EXPORT_WITH_RC4_40_MD5 rsa_rc2_40_md5 SSL_RSA_EXPORT_WITH_RC2_CBC_40_MD5 rsa_null_md5 SSL_RSA_WITH_NULL_MD5 rsa_null_sha SSL_RSA_WITH_NULL_SHA fips_3des_sha SSL_RSA_FIPS_WITH_3DES_EDE_CBC_SHA fips_des_sha SSL_RSA_FIPS_WITH_DES_CBC_SHA fortezza SSL_FORTEZZA_DMS_WITH_FORTEZZA_CBC_SHA fortezza_rc4_128_sha SSL_FORTEZZA_DMS_WITH_RC4_128_SHA fortezza_null SSL_FORTEZZA_DMS_WITH_NULL_SHA

TLS 1.0：エクスポート可能な56ビット暗号スイート。

<argument> <name> rsa_des_56_sha TLS_RSA_EXPORT1024_WITH_DES_CBC_SHA rsa_rc4_56_sha TLS_RSA_EXPORT1024_WITH_RC4_56_SHA

AES暗号。

<argument> <name> dhe_dss_aes_128_cbc_sha TLS_DHE_DSS_WITH_AES_128_CBC_SHA dhe_dss_aes_256_cbc_sha TLS_DHE_DSS_WITH_AES_256_CBC_SHA dhe_rsa_aes_128_cbc_sha TLS_DHE_RSA_WITH_AES_128_CBC_SHA dhe_rsa_aes_256_cbc_sha TLS_DHE_RSA_WITH_AES_256_CBC_SHA rsa_aes_128_sha TLS_RSA_WITH_AES_128_CBC_SHA rsa_aes_256_sha TLS_RSA_WITH_AES_256_CBC_SHA

ECC暗号。

<argument> <name> ecdh_ecdsa_null_sha TLS_ECDH_ECDSA_WITH_NULL_SHA ecdh_ecdsa_rc4_128_sha TLS_ECDH_ECDSA_WITH_RC4_128_SHA ecdh_ecdsa_3des_sha TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA ecdh_ecdsa_aes_128_sha TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA ecdh_ecdsa_aes_256_sha TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA ecdhe_ecdsa_null_sha TLS_ECDHE_ECDSA_WITH_NULL_SHA ecdhe_ecdsa_rc4_128_sha TLS_ECDHE_ECDSA_WITH_RC4_128_SHA ecdhe_ecdsa_3des_sha TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA ecdhe_ecdsa_aes_128_sha TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA ecdhe_ecdsa_aes_256_sha TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA ecdh_rsa_null_sha TLS_ECDH_RSA_WITH_NULL_SHA ecdh_rsa_128_sha TLS_ECDH_RSA_WITH_RC4_128_SHA ecdh_rsa_3des_sha TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA ecdh_rsa_aes_128_sha TLS_ECDH_RSA_WITH_AES_128_CBC_SHA ecdh_rsa_aes_256_sha TLS_ECDH_RSA_WITH_AES_256_CBC_SHA echde_rsa_null TLS_ECDHE_RSA_WITH_NULL_SHA ecdhe_rsa_rc4_128_sha TLS_ECDHE_RSA_WITH_RC4_128_SHA ecdhe_rsa_3des_sha TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ecdhe_rsa_aes_128_sha TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ecdhe_rsa_aes_256_sha TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ecdh_anon_null_sha TLS_ECDH_anon_WITH_NULL_SHA ecdh_anon_rc4_128sha TLS_ECDH_anon_WITH_RC4_128_SHA ecdh_anon_3des_sha TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA ecdh_anon_aes_128_sha TLS_ECDH_anon_WITH_AES_128_CBC_SHA ecdh_anon_aes_256_sha TLS_ECDH_anon_WITH_AES_256_CBC_SHA

rFCで指定された新しいHMAC-SHA256暗号スイート

<argument> <name> rsa_null_sha_256 TLS_RSA_WITH_NULL_SHA256 rsa_aes_128_cbc_sha_256 TLS_RSA_WITH_AES_128_CBC_SHA256 rsa_aes_256_cbc_sha_256 TLS_RSA_WITH_AES_256_CBC_SHA256 dhe_rsa_aes_128_cbc_sha_256 TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 dhe_rsa_aes_256_cbc_sha_256 TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 ecdhe_ecdsa_aes_128_cbc_sha_256 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 ecdhe_rsa_aes_128_cbc_sha_256 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

RFC 5288およびRFC 5289のAES GCM暗号スイート

<argument> <name> rsa_aes_128_gcm_sha_256 TLS_RSA_WITH_AES_128_GCM_SHA256 dhe_rsa_aes_128_gcm_sha_256 TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 dhe_dss_aes_128_gcm_sha_256 TLS_DHE_DSS_WITH_AES_128_GCM_SHA256 ecdhe_ecdsa_aes_128_gcm_sha_256 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 ecdh_ecdsa_aes_128_gcm_sha_256 TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256 ecdhe_rsa_aes_128_gcm_sha_256 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 ecdh_rsa_aes_128_gcm_sha_256 TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256

したがって、暗号を使用する場合はTLS_DHE_RSA_WITH_AES_128_CBC_SHA、コマンドは次のようになります：

curl --ciphers dhe_rsa_aes_128_cbc_sha <url>

複数の暗号を指定するには、リストをコンマで区切ります。したがって、暗号を使用する場合はTLS_ECDH_RSA_WITH_AES_128_GCM_SHA256同様に、コマンドは次のようになります。

curl --ciphers dhe_rsa_aes_128_cbc_sha,ecdh_rsa_aes_128_gcm_sha_256 <url>

Curlが使用している暗号のリストを表示するには、次のような外部サービスが必要です。

curl --ciphers ecdhe_rsa_aes_256_sha https://www.howsmyssl.com/a/check

ただし、そのサービスはすべての暗号を受け入れるわけではありません。つまり、使用されていない1つの暗号のみに接続を制限すると、応答ではなく、「ピアと安全に通信できません：一般的な暗号化アルゴリズムがありません」というエラーが発生します。

Steffen Ullrich · Answer

curl formatはありません。 curlで使用される暗号の形式は、少なくともNSS、GnuTLS、SecureTransport、SChannel、OpenSSLであるバックエンドによって異なります。

しかし、OpenSSL構文を要求しているようです。この場合、暗号名間の変換については https://www.openssl.org/docs/apps/ciphers.html#CIPHER-SUITE-NAMES を参照してください。

Ji Fang · Answer

「暗号リストの設定に失敗しました」エラーが発生した場合。

公式ドキュメントをチェックここ

バックエンドセキュリティライブラリの正しい名前を選択してください。あなたはカール依存ライブラリをチェックすることができます

curl --version curl 7.51.0 (x86_64-Apple-darwin16.0.0) libcurl/7.51.0 OpenSSL/1.0.2n zlib/1.2.8 nghttp2/1.16.0