OpenSSL 中的全局禁用协议答案

【问题标题】：Globally disabling protocols in OpenSSLOpenSSL 中的全局禁用协议
【发布时间】：2014-10-26 20:30:32
【问题描述】：

是否可以为间接使用 OpenSSL 的应用程序全局禁用 TLS 1.1？

我想为使用 gSOAP 进行肥皂 HTTPS 调用的 C 应用程序禁用 TLS 1.1。禁用 TLS 1.1 解决了我最近几天遇到的间歇性 SSL 连接问题（SSL 例程：SSL3_GET_RECORD：错误的版本号）。

目前 TLS 1.1 通过使用 gSOAP 的自定义构建被禁用，但理想情况下我想使用配置文件或我的应用程序中的一些代码禁用协议。

Ubuntu 12.04.5 LTS

OpenSSL 1.0.1-4ubuntu5.20

gSOAP 2.8.4-2

【问题讨论】：

你有没有发现是否可以为 OpenSSL 全局禁用 TLSv1 ？好像没有？

标签： ssl openssl gsoap

【解决方案1】：

虽然有一个全局 OpenSSL 配置文件，但它不能用于限制默认 SSL 版本。不幸的是，gSOAP 库似乎没有 API 或配置来限制 SSL 版本。因此，您可能必须接受您的自定义构建版本，并希望有一天他们提供一个 API 来设置 SSL 版本。

【讨论】：

【解决方案2】：

您至少需要 gSOAP 2.8.28。将SOAP_TLSv1_2 选项与soap_ssl_client_context() 和soap_ssl_server_context() 一起使用，将TLS 协议限制为仅支持TLSv1.2。禁用 TLS1.0/TLS1.1/SSLv3。您不能组合 SSL/TLS 协议选项，因此只有 TLSv1.2 将启用此选项。这适用于 OpenSSL 1.0.1 或更高版本以及最新的 GNUTLS 版本。也许在即将发布的 gSOAP 版本中会有新的选项来支持协议子集，这会很好。

【讨论】：