Jak mogę wykryć, czy serwer używa SNI dla HTTPS?

Szukam prostego sposobu, aby dowiedzieć się, czy serwer używa rozszerzenia SSL Server Name Indication do certyfikatu HTTPS na stronie internetowej. Metoda korzystająca z wiersza polecenia przeglądarki lub systemu Unix jest w porządku.

Dzięki!

SNI jest inicjowany przez klienta, więc potrzebujesz klienta, który go obsługuje. Jeśli nie masz Windows XP, Twoja przeglądarka zrobi to. Jeśli twój klient pozwala poprawnie debugować połączenia SSL (niestety, nawet polecenia CLI gnutls / openssl nie robią tego), możesz sprawdzić, czy serwer odsyła pole nazwa_serwera w rozszerzonym hello. Zauważ, że brak tego pola oznacza tylko, że serwer nie użył nazwy serwera w kliencie hello, aby pomóc wybrać certyfikat, a nie, że go nie obsługuje.

Tak więc w praktyce najłatwiejszym testem jest po prostu próba połączenia. W tym celu musisz znać dwie nazwy, które kończą się tym samym adresem IP, z którym można nawiązać połączenie ssl. https jest najłatwiejszy, ponieważ możesz po prostu przejrzeć obie nazwy i sprawdzić, czy masz odpowiedni certyfikat.

Istnieją trzy wyniki:

• Otrzymasz certyfikat wieloznaczny (lub z podmiotemAltName), który obejmuje obie nazwy: niczego się nie uczysz
• Otrzymujesz zły certyfikat dla co najmniej jednego z nich: albo serwer nie obsługuje SNI, albo został źle skonfigurowany
• Otrzymujesz dwa różne certyfikaty, oba o poprawnej nazwie: SNI jest obsługiwany i poprawnie skonfigurowany.

Nieco bardziej skomplikowanym testem, który da więcej informacji, jest otwarcie i przechwytywanie wireshark podczas przeglądania. Następnie możesz znaleźć odpowiednie pakiety, filtrując ssl.handshake. Poniższe zrzuty ekranu są przykładem pary hello / server hello, w której obsługiwany jest SNI:

Ponownie, oczywiście brak pola server_name na serwerze hello nie oznacza, że ​​SNI nie jest obsługiwany. Tylko to, że podana przez klienta nazwa_serwera nie była używana przy podejmowaniu decyzji, którego certyfikatu użyć.

Jedną linijką, której prawdopodobnie szukasz do wykrycia obecności nagłówka rozszerzenia Wskazanie nazwy serwera SSL / TLS, jest:

openssl s_client -servername www.SERVERNAME.com -tlsextdebug -connect www.YOURSERVER.com:443 2>/dev/null | grep "server name"

gdzie www.SERVERNAME.comjest testowana wartość SNI i www.YOURSERVER.comnazwa domeny lub adres IP testowanego serwera obsługującego TLS.

W wierszu poleceń używane openssljest polecenie s s_client(patrz s_client (1) ), aby połączyć się z serwerem www.YOURSERVER.comna porcie 443. W -tlsextdebugopcji można włączyć rozszerzenia TLS debugowania. Ta -servernameopcja informuje s_clientprogram, aby przekazał www.SERVERNAME.comjako wartość pola SNI w pakiecie ClientHello podczas uzgadniania TLS.

Wreszcie, 2>/dev/nullpo prostu ukrywa wyjście stderr (które może być głośne), a | grep "server name"potok filtruje standardowe wyjście, aby wyświetlić rozszerzenie TLS o nazwie „nazwa serwera” w s_clientwyjściu debugowania rozszerzenia TLS.

Jeśli widzisz wiersz wyniku, taki jak

TLS server extension "server name" (id=0), len=0

następnie serwer zwraca informacje nagłówka SNI w odpowiedzi ServerHello. Jeśli tego nie zrobisz, możliwe, że serwer albo nie obsługuje SNI, albo nie został skonfigurowany do zwracania informacji SNI, biorąc pod uwagę żądaną nazwę. W takim przypadku sprawdź dwukrotnie, czy używasz nazwy domeny w -servernameopcji, o której serwer powinien odpowiedzieć z informacją SNI.

Możesz użyć openssldo pobrania i zapytania certyfikatu.

• pobierz certyfikat za pomocą openssl s_client -connect
• parsuj certyfikat za pomocą openssl x509
• grep znaleźć informacje „DNS:”

openssl s_client -connect alice.sni.velox.ch:443 | openssl x509 -noout -text | grep DNS:

% openssl s_client -connect alice.sni.velox.ch:443 | openssl x509 -noout -text | grep DNS:
depth=2 C = BM, O = QuoVadis Limited, CN = QuoVadis Root CA 2
verify return:1
depth=1 C = BM, O = QuoVadis Limited, CN = QuoVadis Global SSL ICA G2
verify return:1
depth=0 C = CH, ST = Zuerich, L = Zuerich, O = Kaspar Brand, CN = alice.sni.velox.ch
verify return:1
                DNS:alice.sni.velox.ch, DNS:carol.sni.velox.ch

Ostatni wiersz pokazuje wszystkie wpisy SNI obecne w certyfikacie:

                DNS:alice.sni.velox.ch, DNS:carol.sni.velox.ch