在服务器端禁用 OpenSSL 的弱密码

Question

我在用 C 开发的服务器上使用 OpenSSL。

OpenSSL 在我的源代码中是通过以下方式调用的：

SSL_CTX* InitServerCTX(void)
{
    SSL_METHOD *method;
    SSL_CTX *ctx;

    OpenSSL_add_all_algorithms();  /* load & register all cryptos, etc. */
    SSL_load_error_strings();   /* load all error messages */
    method = TLSv1_2_server_method();  /* create new server-method instance */
    ctx = SSL_CTX_new(method);   /* create new context from method */
    if ( ctx == NULL )
    {
        ERR_print_errors_fp(stderr);
        abort();
    }
    return ctx;
}

int main(int count, char *Argc[])
{   
    SSL_CTX *ctx;
    int server;
    char *portnum;

    // Initialize the SSL library
    SSL_library_init();
    ctx = InitServerCTX();        /* initialize SSL */
    ...
}

我用ssllabs.com 测试了我的服务器。而且我的服务器上支持的密码很弱。

如何在我的服务器中禁用这些弱密码？

---编辑---

我尝试在启动上下文后添加以下行

SSL_CTX_set_cipher_list(ctx, "ALL:!NULL-MD5:!NULL-SHA:!NULL-RSA");

但没有任何改变！

Answer 1

对于 TLS v1.2 及更早版本，您可以使用SSL_CTX_set_cipher_list() or SSL_set_cipher_list()。

对于 TLS 1.3，您可以使用SSL_CTX_set_ciphersuites() or SSL_set_ciphersuites()。

请参阅CIPHER LIST FORMAT，了解指定启用/禁用哪些密码时使用的语法。