⚙️ TLS/SSL анализ с помощью sslyze и testssl

Правильная настройка TLS/SSL — критична для безопасности веб-приложений.

➡️ sslyze помогает быстро анализировать серверы на предмет уязвимостей и ошибок в настройках:

— Проверяет поддержку TLS 1.0, 1.1, 1.2, 1.3.

— Оценка безопасности Cipher Suites.

— Проверка на уязвимости: Heartbleed, POODLE, DROWN и другие.

— Проверка сертификатов на корректность, дату истечения и силу ключей.

✏️ Пример команды:

sslyze --tlsv1_2 --show_ciphers example.com

Этот запрос проверяет сервер на поддержку TLS 1.2 и отображает доступные шифры.

➡️ testssl.sh — скрипт для проверки конфигурации серверов, выявления старых протоколов и уязвимостей.

— Проверяет поддержку SSLv2, SSLv3, TLS 1.0, TLS 1.1.

— Анализирует цепочки сертификатов.

— Выявляет уязвимости типа BEAST, POODLE, DROWN.

— Оценивает настройки безопасности, такие как HSTS и Forward Secrecy.

✏️ Пример команды:

testssl.sh --ssl2 --ssl3 --tls1.0 --tls1.1 example.com

Эта команда проверяет поддержку устаревших версий протоколов и уязвимости, связанные с ними.

Почему это важно:

➡️ SSLv2 и SSLv3 уязвимы и не должны использоваться в современных приложениях.

➡️ TLS 1.2 и 1.3 — безопасные протоколы, поддерживающие современные криптографические алгоритмы.

➡️ HSTS защищает от атак SSL stripping, обеспечивая обязательное использование HTTPS.

➡️ Forward Secrecy гарантирует, что ключи сеансов не могут быть расшифрованы при компрометации долгосрочных ключей.

🐸 Библиотека хакера

#буст