Як я можу виявити, чи сервер використовує SNI для HTTPS?

Я шукаю простий спосіб дізнатися, чи сервер використовує розширення SSL-вказівника Імені сервера для свого сертифіката HTTPS на веб-сайті. Метод, який використовує або браузер, або командний рядок Unix, чудово.

Дякую!

SNI ініціюється клієнтом, тому вам потрібен клієнт, який його підтримує. Якщо ви не на Windows XP, ваш браузер зробить. Якщо ваш клієнт дозволяє належним чином налагоджувати з’єднання SSL (на жаль, навіть CLI команди gnutls / openssl цього не роблять), ви можете побачити, чи сервер повертає назад поле ім’я сервера у розширеному привіт. Зауважте, що відсутність цього поля означає лише те, що сервер не використовував ім'я сервера у привітному клієнті для вибору сертифіката, а не того, що він не підтримує його.

Тож на практиці найпростіший тест - це просто спробувати підключення. Для цього вам потрібно знати два імена, які відповідають одному і тому ж IP-адресу, до якого можна встановити з'єднання ssl. https - це найпростіше, оскільки ви можете просто перейти до обох імен і побачити, чи отримали ви правильний сертифікат.

Є три результати:

• Ви отримуєте сертифікат підстановки (або той, хто має subjectAltName), який охоплює обидва імені: ви нічого не дізнаєтесь
• Ви отримуєте неправильний сертифікат принаймні для одного з них: або сервер не підтримує SNI, або він був налаштований неправильно
• Ви отримуєте два різних сертифікати, обидва для правильної назви: SNI підтримується та правильно налаштований.

Трохи складніший тест, який дасть більше інформації, - це відкрити проводку і захопити під час перегляду. Потім ви можете знайти відповідні пакети, відфільтрувавши для ssl.handshake. Наведені нижче скріншоти є прикладом привітної пари клієнта привіт / сервер, де підтримується SNI:

Знову ж таки, звичайно, відсутність поля імені сервера в привіт сервері не вказує на те, що SNI не підтримується. Просто те, що надане клієнтом ім’я_сервера не було використано для вирішення, який сертифікат використовувати.

Один вкладиш, який ви, ймовірно, шукаєте, щоб виявити наявність заголовка розширення вказівника розширення імені SSL / TLS:

openssl s_client -servername www.SERVERNAME.com -tlsextdebug -connect www.YOURSERVER.com:443 2>/dev/null | grep "server name"

де www.SERVERNAME.comтестується значення SNI та те www.YOURSERVER.comсаме доменне ім’я чи IP-адреса сервера, що підтримує TLS, який ви тестуєте.

Командний рядок використовує openssl's s_client(див. S_client (1) ) для підключення до сервера www.YOURSERVER.comна порту 443. В -tlsextdebugопції включає розширення TLS оцінний. Цей -servernameпараметр повідомляє s_clientпрограмі передавати www.SERVERNAME.comяк значення поля SNI в пакеті ClientHello під час рукостискання TLS.

Нарешті, 2>/dev/nullпросто приховує висновок stderr (який може бути галасливим), і | grep "server name"конвеєр фільтрує stdout, щоб відобразити розширення TLS під назвою "ім'я сервера" у s_clientвиводі налагодження розширення TLS.

Якщо ви бачите рядок виводу, такий як

TLS server extension "server name" (id=0), len=0

тоді сервер повертає інформацію заголовка SNI у своїй відповіді ServerHello. Якщо цього немає, то можливо сервер або не підтримує SNI, або він не налаштований повертати інформацію про SNI з урахуванням імені, яке ви запитуєте. У цьому випадку двічі перевірте, чи використовуєте ви доменне ім’я в -servernameопції, про яку сервер повинен відповідати інформацією про SNI.

Ви можете використовувати opensslдля отримання та запиту сертифіката.

• забирати церт openssl s_client -connect
• розібрати церт с openssl x509
• grep щоб знайти інформацію "DNS:"

openssl s_client -connect alice.sni.velox.ch:443 | openssl x509 -noout -text | grep DNS:

% openssl s_client -connect alice.sni.velox.ch:443 | openssl x509 -noout -text | grep DNS:
depth=2 C = BM, O = QuoVadis Limited, CN = QuoVadis Root CA 2
verify return:1
depth=1 C = BM, O = QuoVadis Limited, CN = QuoVadis Global SSL ICA G2
verify return:1
depth=0 C = CH, ST = Zuerich, L = Zuerich, O = Kaspar Brand, CN = alice.sni.velox.ch
verify return:1
                DNS:alice.sni.velox.ch, DNS:carol.sni.velox.ch

Останній рядок показує всі записи SNI, присутні в сертифікаті:

                DNS:alice.sni.velox.ch, DNS:carol.sni.velox.ch