如何用OpenSSL進行TLS版本協商

使用OpenSSL進行TLS版本協商，可以通過指定客戶端或服務器支持的TLS版本來實現。以下是一些基本步驟和示例：

客戶端協商TLS版本

1. 啟動OpenSSL客戶端并指定TLS版本： 使用openssl s_client命令，并通過-tls1_2、-tls1_3等選項來指定TLS版本。

   openssl s_client -connect example.com:443 -tls1_2
   

   這個命令會嘗試與example.com的443端口建立TLS 1.2連接。

2. 檢查服務器支持的TLS版本： 你可以使用-tls1_2、-tls1_3等選項來測試服務器支持的TLS版本。

   openssl s_client -connect example.com:443 -tls1_3
   

   如果服務器支持TLS 1.3，連接將會成功；如果不支持，則會失敗。

服務器協商TLS版本

1. 配置OpenSSL服務器以支持特定TLS版本： 在服務器配置文件（通常是openssl.cnf）中，你可以指定支持的TLS版本。

   [system_default_sect]
   MinProtocol = TLSv1.2
   

   這個配置會使得服務器只接受TLS 1.2及以上版本的連接。

2. 重啟服務器： 修改配置文件后，重啟服務器以應用更改。

示例：使用Python腳本進行TLS版本協商

如果你希望通過編程方式使用OpenSSL進行TLS版本協商，可以使用Python的ssl模塊。

import ssl
import socket

# 創建一個TCP/IP套接字
sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

# 包裝套接字以使用SSL/TLS
context = ssl.create_default_context(ssl.Purpose.SERVER_AUTH)
context.options |= ssl.OP_NO_TLSv1 | ssl.OP_NO_TLSv1_1  # 禁用TLS 1.0和1.1

# 連接到服務器
with context.wrap_socket(sock, server_hostname='example.com') as ssock:
    print(f"Connected with {ssock.version()}")

    # 發送HTTP請求
    request = "GET / HTTP/1.1\r\nHost: example.com\r\nConnection: close\r\n\r\n"
    ssock.sendall(request.encode())

    # 接收響應
    response = ssock.recv(4096)
    print(response.decode())

在這個示例中，我們創建了一個SSL上下文，并禁用了TLS 1.0和1.1，從而確保只使用TLS 1.2或更高版本進行連接。

通過這些方法，你可以靈活地控制和協商TLS版本，以確保通信的安全性和兼容性。