בודק גרסת TLS
פרטים טכניים
כיצד פועל בודק ה‑TLS
מה הכלי עושה
בודק ה‑TLS בוחן את תצורת ה‑TLS של שם מארח באמצעות ניסיון חיבורים בכל גרסת פרוטוקול (TLS 1.0, 1.1, 1.2 ו‑1.3) ומדווח אילו גרסאות נתמכות. הוא גם מאחזר את פרטי תעודת ה‑X.509 של השרת, כולל נושא (subject), מנפיק (issuer), תאריכי תוקף, SANs וגודל מפתח. הבדיקה מתבצעת דרך API בצד השרת כדי להימנע ממגבלות אבטחה של הדפדפן על גישה ישירה לשקעי TLS גולמיים.
מקרי שימוש נפוצים למפתחים
מהנדסי DevOps משתמשים בבודקי TLS כדי לוודא שפרוטוקולים שהוצאו משימוש (TLS 1.0/1.1) מושבתים לאחר שינויי תצורה, וכך להבטיח עמידה ב‑PCI-DSS. מפתחים מאתרים תקלות בשרשרת התעודות, בודקים תאריכי תפוגה לפני חידושים, ומוודאים שתעודות wildcard או SAN מכסות את כל תתי‑הדומיינים הנדרשים. מבקרי אבטחה סורקים נקודות קצה כדי לזהות תמיכה חלשה בפרוטוקולים שעלולה לחשוף שירותים למתקפות הורדת גרסה כמו POODLE או BEAST.
פורמטי נתונים, טיפוסים או וריאנטים
גרסאות TLS נעות מ‑1.0 (1999, הוצאה משימוש) דרך 1.1 (2006, הוצאה משימוש) ועד 1.2 (2008, נתמכת באופן נרחב) ו‑1.3 (2018, המהירה והמאובטחת ביותר). מידע התעודה כולל את ה‑Common Name של הנושא ואת Subject Alternative Names (SANs), שרשרת המנפיקים, סוג וגודל מפתח RSA/ECDSA, אלגוריתם חתימה, וחותמות זמן של תוקף not-before/not-after. התוצאות מציינות האם לחיצת היד (handshake) של כל גרסת פרוטוקול הצליחה או נדחתה על ידי השרת.
מלכודות נפוצות ומקרי קצה
CDN-ים ומאזני עומסים עשויים להציג תעודות או תצורות TLS שונות מאלו של שרת המקור, לכן תמיד בדקו את נקודת הקצה בפועל שאליה המשתמשים שלכם מתחברים. SNI (Server Name Indication) נדרש עבור מארחים שמגישים מספר תעודות על גבי IP אחד — בדיקה לפי כתובת IP בלבד עלולה להחזיר את התעודה הלא נכונה. חלק מהשרתים משתמשים בפרוקסי לסיום TLS, שבו הפרוקסי תומך ב‑TLS 1.3 אך ה‑backend מדבר רק 1.2, מה שיוצר רושם מטעה לגבי מצב האבטחה של כל השרשרת.
מתי להשתמש בכלי הזה לעומת קוד
השתמשו בכלי הדפדפן הזה לבדיקות מהירות ואד‑הוק של נקודות קצה בודדות במהלך תגובה לאירוע, אימות חידוש תעודה או בדיקות תאימות נקודתיות. לניטור רציף של תצורות TLS על פני נקודות קצה רבות, השתמשו בכלים ייעודיים כמו testssl.sh, sslyze או שירותי ניטור תעודות מבוססי ענן שמספקים התראות, מעקב היסטורי ולוחות זמנים לסריקה אוטומטית.