
最近公司資安檢查報告中被檢查出了一個關於SSL的加密連線的弱點，這個弱點是因為我們沒有把不安全的加密演算法關閉導致這個弱點的產生，
在公司的政策中線上的伺服器不能任意安裝任何程式，所以`IISCrypto`就只能放棄無法使用，所以我修改的部分是使用修改幾碼的方式進行，
由於我不太熟悉資安，修改後要如何驗證呢這些已知有問題的演算法是否已經正確的被關閉了呢？

所以我又在網路上google找到幾個腳本，透過openssl與curl的搭配可以掃描我們的server支援了哪些SSL的加密方式，有從server site的檢查與client site的檢查。

```sh
# server side
URL="https://yi-shiuan.github.io/"

ciphers=$(openssl ciphers 'ALL:eNULL' | sed -e 's/:/ /g')

 for cipher in ${ciphers[@]}
 do
 echo -n Testing $cipher...
 result=$(echo -n | openssl s_client -cipher "$cipher" -connect $URL 2>&1)
 if [[ "$result" =~ ":error:" ]] ; then
   error=$(echo -n $result | cut -d':' -f6)
   echo NO $$error$
 else
   if [[ "$result" =~ "Cipher is ${cipher}" || "$result" =~ "Cipher    :" ]] ; then
     echo YES
   else
     echo UNKNOWN RESPONSE
     echo $result
   fi
 fi
 sleep 1
 done
```

```sh
# client site的檢查
URL="https://yi-shiuan.github.io/"

DELAY=1
ciphers=$(openssl ciphers 'ALL:eNULL' | sed -e 's/:/ /g')

for cipher in ${ciphers[@]}
do
    printf -v pad %30s
    printf "Checking ${cipher:0:30} ... "
    curl -s -S -o /dev/null --no-progress-meter --tls-max 1.2 --ciphers $cipher $URL
    if [ $? -eq 0 ]; then
        echo OK
    fi
done
```

### 參考資料

[IISCrypto](https://www.nartac.com/Products/IISCrypto)

[叡揚資訊](https://www.gss.com.tw/blog/set-https-connect-protocols-and-ciphers)

[SSL Ciphers](https://curl.se/docs/ssl-ciphers.html)


最近公司資安檢查報告中被檢查出了一個關於SSL的加密連線的弱點，這個弱點是因為我們沒有把不安全的加密演算法關閉導致這個弱點的產生， 在公司的政策中線上的伺服器不能任意安裝任何程式，所以`IISCrypto`就只能放棄無法使用，所以我修改的部分是使用修改幾碼的方式進行， 由於我不太熟悉資安，修改後要如何驗證呢這些已知有問題的演算法是否已經正確的被關閉了呢？

弱點掃描-SSL加密演算法不安全的演算法