Wie erzwinge ich eine bestimmte TLS-Version in einem PHP-Stream-Kontext für den ssl://-Transport?

Wie kann ich TLSv1.0 in einem PHP-Stream-Kontext erzwingen, wenn ich versuche, auf eine https URL?

Ich suche sowas in der Richtung:

$context = stream_context_create(
  array(
    'ssl' => array(
      'protocol_version' => 'tls1',
    ),
  ));
file_get_contents('https://example.com/test', false, $context);

Hintergrund

Eigentlich stehe ich vor ein Problem in Ubuntu 12.04 bei der Arbeit mit PHP’s SoapClient. Leider unterstützt der Server, mit dem ich eine Verbindung herstellen möchte, nur SSLv3.0/TLSv1.0 und schlägt bei der standardmäßigen TLSv1.1-Aushandlung fehl. Daher möchte ich explizit das Protokoll der einstellen ssl:// Transport zu TLSv1.0.

PHP 5.6+ Benutzer

Dies ist eine neue Funktion, die auf der dokumentiert ist PHP 5.6 OpenSSL-Änderungsseite.

Zum Zeitpunkt des Schreibens dieses Artikels befindet sich PHP5.6 in Beta1 und ist daher nicht besonders nützlich. Menschen der Zukunft – Glück gehabt!

Die Zukunft liegt vor uns. PHP 5.6 ist eine Sache und seine Verwendung sollte gefördert werden. Beachten Sie, dass einige ziemlich weit verbreitete Dinge wie mysql_*-Funktionen veraltet sind, also sollten Sie beim Upgrade vorsichtig sein.

Jeder andere

@toubsen hat Recht mit seiner Antwort – das ist nicht direkt möglich. Um auf seine vorgeschlagenen Problemumgehungen näher einzugehen … bei der Umgehung eines Problems, bei dem der API-Server eines Anbieters TLSv1.2 nicht korrekt auf sein unterstütztes TLSv1.0 aushandelte, schien das Senden einer kleinen Teilmenge von Chiffren zu ermöglichen, dass die Aushandlung korrekt abgeschlossen wurde. Stream-Kontextcode ist:

$context = stream_context_create(
    [
        'ssl' => [
            'ciphers' => 'DHE-RSA-AES256-SHA:DHE-DSS-AES256-SHA:AES256-SHA:KRB5-DES-CBC3-MD5:KRB5-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:EDH-DSS-DES-CBC3-SHA:DES-CBC3-SHA:DES-CBC3-MD5:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA:AES128-SHA:RC2-CBC-MD5:KRB5-RC4-MD5:KRB5-RC4-SHA:RC4-SHA:RC4-MD5:RC4-MD5:KRB5-DES-CBC-MD5:KRB5-DES-CBC-SHA:EDH-RSA-DES-CBC-SHA:EDH-DSS-DES-CBC-SHA:DES-CBC-SHA:DES-CBC-MD5:EXP-KRB5-RC2-CBC-MD5:EXP-KRB5-DES-CBC-MD5:EXP-KRB5-RC2-CBC-SHA:EXP-KRB5-DES-CBC-SHA:EXP-EDH-RSA-DES-CBC-SHA:EXP-EDH-DSS-DES-CBC-SHA:EXP-DES-CBC-SHA:EXP-RC2-CBC-MD5:EXP-RC2-CBC-MD5:EXP-KRB5-RC4-MD5:EXP-KRB5-RC4-SHA:EXP-RC4-MD5:EXP-RC4-MD5',
        ],
    ]
);

SOAP-Benutzer

Der SOAP-Client von PHP verwendet weder curl noch scheint er den standardmäßigen Kontextsatz mit zu verwenden stream_context_set_default. Daher muss der erstellte Kontext als solcher im 2. Parameter an den SOAPClient-Konstruktor übergeben werden:

$soap_client = new SOAPClient('http://webservices.site.com/wsdlfile.wsdl', array('stream_context' => $context));

Warum diese Chiffren?

Ausführen des Befehls openssl ciphers auf dem Server gibt Ihnen eine Liste der unterstützten Chiffren im obigen Format. Laufen openssl ciphers -v teilt Ihnen diejenigen mit, die TLSv1.2-spezifisch sind. Die obige Liste wurde aus allen Nicht-TLSv1.2-Chiffren zusammengestellt, die von OpenSSL gemeldet wurden.

openssl ciphers -v | grep -v 'TLSv1.2' | cut -d ' ' -f 1 | tr "\n" ':'

Falls jemand wissen möchte, wie man TLSv1.0 “deaktiviert”, wenn er eine SOAP-Anfrage stellt …

$parameters = array(
    'trace' => true,
    'exceptions' => true,
    'cache_wsdl' => WSDL_CACHE_NONE,
    'stream_context' => stream_context_create(array(
        'ssl' => array(
            'ciphers' => 'DEFAULT:!TLSv1.0:!SSLv3'
        ),
    )),
    'connection_timeout' => 15
);

$client = new SoapClient(YOUR_WSDL_URL_HERE, $parameters);

Der Schlüsselteil hier ist dieser Stream-Kontext Chiffren Linie. Dies besagt, dass Sie die Standardchiffren verwenden, aber TLSv1.0-Chiffren ausschließen (das 1.0-Paket enthält auch TLSv1.1-Chiffren). Das : ist das Chiffrierpakettrennzeichen (was zwischen Paketen steht) und das ! hier ist, ihm zu sagen, dass es dieses Paket ausschließen soll (es ist ein harter Ausschluss, wenn es also später in der Liste auftaucht, wird es immer noch ausgeschlossen). Weicher Ausschluss ist – Zeichen und Hinzufügen am Ende der Liste ist + Zeichen. Um es in der Reihenfolge hinzuzufügen, fügen Sie es einfach ohne irgendetwas davor hinzu.

Chiffreinformationen hier: https://www.openssl.org/docs/manmaster/man1/ciphers.html#CIPHER-LIST-FORMAT

Edit: Aus welchem ​​Grund auch immer

'ssl_method' => SOAP_SSL_METHOD_TLS,

Ein Teil der Optionen bereitete mir wirklich Kopfschmerzen und würde in bestimmten Kontexten keine Verbindung herstellen. Nach unzähligen Fehlerbehebungen und dem Herumspielen mit Optionen wurde mir schließlich klar, dass das Entfernen dieser Einstellung und das automatische Festlegen dieser Einstellung das Problem anscheinend behoben hat.

Basisinformationen

Das Feld protocol_version gilt nur für den HTTP-Kontext (HTTP 1.0 vs. 1.1), wirkt sich aber nicht auf den SSL-Kontext aus.

Die folgende Handbuchseite listet alle Stream-Kontextoptionen für PHP auf:
Kontextoptionen und Parameter

Für alle SSL-basierten Stream-Wrapper sind nur die folgenden Optionen verfügbar:
SSL-Kontextoptionen

Mögliche Lösungen / Problemumgehungen

Erster Rat: Lassen Sie den Serveradministrator seinen Server reparieren, anstatt dies in Ihrem Client zu umgehen 😉

Vielleicht kannst du es mit dem zum Laufen bringen ciphers Möglichkeit für SSL-Streams, um nur eine exakte zu übergeben TLSv1.0-Verschlüsselungssammlung (das ist einzigartig für TLSv1.0) in der Liste, die Ihr Zielserver unterstützt.

Eine Umstellung der Implementierung auf die Verwendung von cURL wird hier höchstwahrscheinlich auch nicht helfen, wie gem einen Eintrag in ihrer Mailinglistegibt es keine Option, eine bestimmte TLS-Version zu erzwingen – der Client führt bei Bedarf automatisch ein Downgrade durch.

tl;dr

Mir ist derzeit keine Möglichkeit bekannt, TLSv1.0 explizit für SSL-Verbindungen von PHP zu erzwingen.

Ich kann bestätigen, dass die oben akzeptierte Antwort nicht für die Kombination von Ubuntu 12.04 und PHP 5.4.33 funktioniert. Außerdem habe ich herausgefunden, dass ich das Zertifikat manuell angeben muss, wenn ich versuche, mit openssl und curl auf https-Endpunkte zuzugreifen. Am Ende verwendete ich RHEL 7 und PHP 5.5, um eine solide Lösung zu erreichen, als ich die Integration für eine Unternehmensanwendung entwickelte. Nichts gegen Ubuntu, aber in meinem speziellen Fall hat es nicht funktioniert.