OSR推出在线SSL/TLS安全测试工具

作为使用最广泛的网络通信安全协议，SSL/TLS协议利用密码学技术给通信双方提供了身份认证、数据加密和完整性校验等功能，是现代互联网安全的重要基础。

随着互联网技术的发展，越来越多的服务器正在采用SSL/TLS协议进行通信加密。根据谷歌Chrome在2019年的数据，超过80%的网页是通过HTTPS（即使用了TLS的HTTP）加载的。OSR在去年也对SSL/TLS的使用情况进行了调研，发现国内已有44%的网站部署了TLS（国外数据是81%）。

与此同时，随着物联网技术和智能设备的普及，越来越多的智能终端设备也在使用SSL/TLS协议与云端进行加密通信。许多IoT开放平台比如AWS IoT、Azure IoT、百度IoT等都支持了SSL/TLS协议。

虽然SSL/TLS协议正在互联网中得到快速普及，但由于协议比较复杂，在具体的实现和部署时容易出现漏洞，导致预期的安全功能失效。比如错误的配置了弱的加密算法导致密钥被暴力破解，有漏洞的代码实现导致了敏感信息从内存泄露等。

根据Qualys在2019年针对全球网站的调研，超过30%的HTTPS网站使用的是不安全的SSL/TLS协议。OSR对国内的HTTPS网站进行了调研，发现42%的国内网站使用的是不安全的SSL/TLS协议。这些不安全的SSL/TLS如果被黑客利用，可能导致相关企业发生严重的数据泄露和经济损失。

OSR的SSL/TLS安全测试工具，基于国际的SSL/TLS标准，以及我国的TLCP/CTLS标准，从协议的合规性、加密套件、安全漏洞和随机数质量等方面进行安全测试，是目前市场上唯一兼顾了TLS服务器和客户端双向测试的在线检测工具。

OSR的在线SSL/TLS安全测试工具（https://tlst.osr-tech.com）可以快速检查服务器和客户端是否采用了过时老旧的不安全协议版本。此外，我们的工具还针对当前已知的十几种SSL/TLS安全漏洞（比如心脏滴血、BEAST攻击、CCS注入、POODLE攻击、ROBOT漏洞等）进行测试，以确保被测设备上的TLS协议实现是安全的。

SSL/TLS安全测试工具使用说明

OSR的SSL/TLS安全测试涵盖SSL/TLS服务器测试和SSL/TLS客户端测试两大功能。

对于SSL/TLS服务器测试，我们的工具支持以下功能：

协议版本和加密套件检测

国密算法(SMx)和国密CTLS检测

SSL证书解析和验证

多种客户端握手模拟

13种服务端SSL漏洞测试

OSR的服务器做的测试报告，以供参考：

对于SSL/TLS客户端测试，我们的工具支持以下功能：

协议版本和加密套件检测

国密算法(SMx)和国密CTLS检测

SSL证书处理能力测试

协议消息模糊测试

5种客户端SSL漏洞测试

随机数安全性检测

OSR对Python里面的OpenSSL库实现做的测试，以供参考

除了以上功能，我们还能提供SSL/TLS实现安全模糊测试模块，这是针对TLS的协议栈实现进行全方位的安全性模糊测试，可以及时发现客户端/服务端实现中隐藏的安全漏洞和风险。测试模块将针对TLS连接建立过程的各个环节执行模糊测试，主要涉及的测试流程如图所示：

OSR的在线SSL/TLS安全测试工具（https://tlst.osr-tech.com）当前处于免费使用阶段，迎大家注册账号进行使用，如有问题，可以通过邮件联系（contact@osr-tech.com)或者网站上在线提交。或者扫描以下二维码快速取得技术支持。