SSL 和 TLS 版本控制

Question

关于 SSL 和 TLS 安全性，是否可以在服务器上运行每个协议(protocol)的多个版本？如果是这样，我假设您必须告诉应用程序使用哪个协议(protocol)，因为安装了多个版本。如果没有，类似环境有哪些选择？

示例:服务器 1 上有 TLS 1.0、1.1 和 1.2。

Answer 1

当然可以。向后兼容性是必要的，有些客户端可能无法使用 TLS1.2，有些可能只能使用 TLS1.0，等等。TLS 协议(protocol)套件处理服务器和客户端问候消息中的版本协商，因此一旦配置了客户端例如，仅使用 TLS 1.2，它应该能够与服务器协商该版本。 GNUTLS 和 OpenSSL 等 TLS 实现被广泛用作 Nginx 等流行服务器软件的 SSL Backbone ，支持此类配置:

http {
    ssl_session_cache   shared:SSL:10m;
    ssl_session_timeout 10m;

    server {
        listen              443 ssl;
        server_name         www.example.com;
        keepalive_timeout   70;

        ssl_certificate     www.example.com.crt;
        ssl_certificate_key www.example.com.key;
        ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers         HIGH:!aNULL:!MD5;