Testen von SSL-Verbindungen mit SSLyze, Nmap oder OpenSSL

Einführung:
OpenSSL ist ein großartiges Tool, um SSL-Verbindungen zu Servern zu überprüfen. Die Schwierigkeit besteht hier, wenn man einen vollständigen Scan aller möglichen SSL-Cyphers und -Protokolle wünscht, die von einem Server verwendet werden. Hier kommt SSLyze ins Spiel. Dieses Tool ist ein Python-Skript, das den Zielhost/Port auf SSL-Handshake scannt und meldet, was funktioniert/unterstützt wird und was nicht. Leider ist dieses schöne Tool nicht in den Ubuntu/Debian-Distributionen enthalten, und hier kommt dieser Beitrag ins Spiel.

WICHTIG: Neben der Durchführung aller nachstehenden Tests ist es sehr wichtig (wie in diesem Link angegeben), OpenSSL wie folgt auf die neueste Version zu aktualisieren:
Benutzer von OpenSSL 1.0.2 sollten auf 1.0.2g aktualisieren
Benutzer von OpenSSL 1.0.1 sollten auf 1.0.1s aktualisieren

SSLyze

Installieren der Abhängigkeiten und des Tools
cd /root/bin
wget https://github.com/nabla-c0d3/sslyze/archive/0.13.4.tar.gz
tar fvxz 0.13.4.tar.gz
apt-get install python-pip python-dev
pip install nassl

SSLyze verwenden
python /root/bin/sslyze-0.13.4/sslyze_cli.py --regular www.itmatrix.eu:443

NMAP

Scannen des gesamten Servers auf Schwachstellen einschließlich schwacher SSL-Versionen mit NMAP.
Hinweis: Die Ausführung dieses Vorgangs kann lange dauern.
apt-get install nmap
nmap -sV -sC www.itmatrix.eu
ODER besser (zur Überprüfung von HTTPS, SMTPS, IMAPS, POP3S)
nmap --script ssl-cert,ssl-enum-ciphers -p 443,465,993,995 www.itmatrix.eu

OpenSSL

Überprüfung der SSL-Verbindung mit OpenSSL
echo 'q' | openssl s_client -host www.itmatrix.eu -port 443
Hinweis: Da in diesem obigen Fall die SSLv2-Unterstützung normalerweise für OpenSSL in Debian/Ubuntu-Distributionen deaktiviert ist, können Sie nicht sehen, ob der Server dies unterstützt. Um dies zu umgehen und die SSLv2-Unterstützung (für Ihr Test-Linux) zu aktivieren, folgen Sie den Anweisungen auf dieser Website:
http://www.hackwhackandsmack.com/?p=46

HINWEIS:
Weitere Informationen zum Schutz vor DROWN(SSLv2)- oder POODLE(SSLv3)-Angriffen finden Sie unter:
https://drownattack.com
http://www.softwaresecured.com/2016/03 /01/how-to-confirm-ob-you-are-vulnerable-to-the-drown-attack/
http://www.mogilowski.net/lang/de-de/2014/10/23 /disabling-sslv3-for-poodle-on-debian/
https://www.owasp.org/index.php/Testing_for_Weak_SSL/TLS_Ciphers,_Insufficient_Transport_Layer_Protection_%28OTG-CRYPST-001%29
https://zmap.io/sslv3/