От переводчика.

Привет! В последнее время было обнаружено довольно много уязвимостей, связанных с SSL, поэтому мне захотелось сделать перевод статьи, в которой собран список инструментов для тестирования SSL, TLS и различных уязвимостей. В статье довольно много терминов, поэтому хочу извиниться, если что-то перевела не совсем корректно. Если вы можете предложить лучший вариант перевода, пожалуйста, напишите в личные сообщения.


image

Проверяйте SSL, TLS и шифрование


Проверка SSL необходима для обеспечения правильного отображения параметров сертификата. Существует множество способов проверки SSL-сертификатов. Проверка с помощью инструментов в сети позволяет получить полезную информацию, находящуюся ниже. Она также поможет вам выявить угрозы на ранних стадиях, а не после получения жалобы клиента.

Я получил ряд вопросов после своей последней публикации «Усиление защиты Apache. Гид по безопасности» о проверке TLS и SSL. В этой статье я расскажу вам о некоторых полезных инструментах для проверки SSL-сертификатов в сети.

Symantec SSL Toolbox


Проверка CSR — очень важно проверить CSR перед отправкой для подписи запроса. Вы сможете удостовериться в том, что CSR содержит все требуемые параметры, например, CN, DN, O, OU, алгоритм и др.

Проверка установки сертификата — после установки всегда полезно удостовериться в том, что сертификат действителен и содержит необходимую информацию. Этот онлайн инструмент позволит вам проверить CN, SAN, название организации, OU, город, серийный номер, тип применяемого алгоритма, длину ключа и подробности о цепочке сертификата.

Wormly Web Server Tester


Тестирование web сервера от Wormly позволяет получить подробный обзор параметров ссылки. Обзор включает в себя данные о сертификате (CN, срок действия, цепочка сертификата), шифровании, длине открытого ключа, безопасности повторного согласования, протоколах типа SSLv3/v2, TLSv1/1.2.

DigiCert SSL Certificate Checker


Инструмент для проверки установки SSL сертификатов от DigiCert — еще один прекрасный инструмент, который позволит вам преобразовать DNS в IP адрес, узнать кто выдал сертификат, его серийный номер, длину ключа, алгоритм подписи, SSL-шифрование, поддерживаемое сервером и срок действия сертификата.

SSL Shopper


Проверка SSL от SSL Shopper — подойдет для быстрой проверки типа сервера, срока действия, SAN и цепочки доверия. Вы сможете оперативно найти ошибку в цепочке сертификата или узнать, что он не работает должным образом. Инструмент отлично подходит для устранения неполадок в работе.

GlobalSign SSL Check


Проверка конфигурации SSL от GlobalSign предоставляет очень подробную информацию о веб-сервере и SSL. Инструмент ставит баллы в зависимости от данных сертификата, поддержки протоколов, обмена ключами и надёжности шифра. Это незаменимый инструмент при настройке нового безопасного URL или проведении аудита. Обязательно попробуйте!

Qualys SSL Labs


Позволяет оценить ваш сайт в отношении безопасности SSL-сертификата. Предоставляет очень подробную техническую информацию. Советую системным администраторам, аудиторам, инженерам по интернет-безопасности для выявления и наладки “слабых” параметров.

Free SSL Server Test


Производит проверку вашей https ссылки и отображает следующую информацию, которую при желании можно скачать в PDF-формате:

  • Совместимость PCI DSS
  • Соответствие принципам NIST
  • Размер DH
  • Поддержка протоколов
  • Поддержка шифров
  • Откат TLS соединения
  • Поддержка повторного согласования
  • Основные наборы шифров
  • Контент третьих лиц

COMODO SSL Analyzer


SSL анализатор от COMODO позволяет провести анализ https URL и быстро получить отчеты по различным параметрам, включая

  • Серийный номер
  • Отпечаток
  • Действительность SSL-сертификата
  • Эмитент
  • Поддержка протокола (SSL/TLS)
  • Защита от атак Downgrade
  • Безопасность повторного согласования (по инициативе сервиса или клиента)
  • Сжатие
  • Session tickets
  • Активные наборы шифрования

SSL Checker


Что действительно хорошо в SSL Checker, так это то, что инструмент позволяет настроить напоминание (за 30 дней) об истечении срока действия сертификата. Это отлично, мне кажется, что бесплатно эту услугу больше нигде получить нельзя. Кроме того, инструмент позволяет выполнить базовую проверку таких параметров, как:

  • Цепочка сертификата
  • Корневой сертификат
  • Алгоритм подписи
  • Отпечаток
  • Элементы цепочки
  • SAN

HowsMySSL


Этот инструмент отличается от остальных. Он позволяет проверить клиента (браузер) и получить оценку состояния по следующим параметрам:

  • Поддерживаемая версия протокола
  • Сжатие
  • Поддержка session ticket
  • Поддерживаемое шифрование

Для проверки клиента, просто зайдите на HowsMySSL в браузере.

Другие инструменты онлайн-проверки


Проверка уязвимости POODLE:


Проверка уязвимости FREAK:


Проверка уязвимости LogJam:


Проверка уязвимости SHA-1:


Я считаю, что перечислил все бесплатные онлайн-инструменты для проверки параметров SSL-сертификата и получения достоверной технической информации для проведения аудита и обеспечения безопасности веб-приложений. Если вам понравилось, поделитесь с друзьями.

P. S. Приглашаем в наше Хостинг Кафе. Работают и активно развиваются 6 сайтов для поиска хостинговых услуг:

  • VDS.menu — Поиск виртуальных серверов
  • SHARED.menu — поиск виртуального хостинга
  • DEDICATED.menu — поиск выделенных серверов
  • HTTPS.menu — поиск SSL сертификатов
  • LICENSE.menu — поиск лицензий
  • BACKUP.menu — поиск места для резервных копий

Спасибо andorro за помощь с подготовкой публикации.

Комментарии (4)


  1. pokryshkin
    29.03.2016 16:30
    +1

    Про винду: настраиваем SSL, TLS IIS
    https://www.nartac.com/Products/IISCrypto
    два клика: "Best practices", "Apply"
    и перезагрузка.


  1. pashaxp
    29.03.2016 21:46
    +5

    HTTPS.menu без SSL Предлагаю настроить, будет более тематично. https://https.menu :)


  1. scronheim
    30.03.2016 15:03

    Простите за оффтоп, но зачем ослику залепили глаза?


    1. cynovg
      30.03.2016 20:08

      Видимо, что бы он не знал куда (срочно) идти?