connexion détection est cryptée (ou non)

Question

Je viens de tester ce serveur HTTPS j'ai trouvé sur le site de l'agent:

const https = require("https"); 
const fs = require("fs"); 

const options = { 
    "key": fs.readFileSync("key.pem"), 
    "cert": fs.readFileSync("cert.pem") 
}; 

server = https.createServer(options, (req, res) => { 
    res.writeHead(200); 
    res.write("Hello!"); 
    res.end(); 
}); 

server.listen(8000); 

J'ai créé les deux fichiers de certificats auto-signés avec OpenSSL:

openssl req -newkey rsa:2048 -nodes -keyout key.pem -x509 -days 365 -out cert.pem 

il fonctionne très bien, je peux me connecter avec un navigateur et un avertissement de certificat (car il est auto-signé) et cliquez-trhough pour accepter la page quand même. Ce dont j'ai besoin n'est pas l'authentification client ou serveur, juste le chiffrement! Je ne vais pas me connecter au serveur avec un navigateur, ce n'est que le début d'un projet plus long et il y aura un client personnalisé qui sait que le serveur n'est pas authentifié et ignorer cette lacune.

Mes problèmes concernent le cryptage. Est-il un moyen de dire côté serveur, si la connexion a été effectivement cryptée avec succès? Ou, détecter si la connexion a pas crypté comme promis?

Answer 1

Le default cipher suites configuration prend en charge uniquement les suites de chiffrement qui fournissent un chiffrement puissant. Cela signifie que si une connexion a été établie, le cryptage de la suite de chiffrement choisie sera appliqué.

Cependant, vous devez forcer l'utilisation de TLS 1.2 afin de prévenir les attaques de déclassement du protocole par le options:

const options = { 
    "key": fs.readFileSync("key.pem"), 
    "cert": fs.readFileSync("cert.pem"), 
    "secureProtocol": "TLSv1_2_method" 
};