Testing Your SSL Configuration with sslyze

Here’s a handy tool to double check the SSL configuration of your web server. Â You’ve got the host stood up, an SSL certificate deployed, but you’re not quite sure what options SSL is offering. Â Enter sslyze, a cross platform utility written in Python. Â Simply download the code from http://code.google.com/p/sslyze/, extract the archive and run from the command line.

I setup a generic web server running a self-signed certificate to test it out. Oddly enough, the cert is listed as not trusted. I found that running it without root permissions resulted in a lot of permissions errors and it didn’t execute. Once I added sudo to the mix, it worked very well and very fast.

sudo python sslyze.py --regular 192.168.1.99:443
Password:

REGISTERING AVAILABLE PLUGINS
-----------------------------
PluginCertInfo - OK
Â Â
PluginOpenSSLCipherSuites - OK
Â Â
PluginSessionRenegotiation - OK
Â Â
PluginSessionResumption - OK

CHECKING HOST(S) AVAILABILITY
-----------------------------
192.168.1.99:443 Â Â Â Â Â Â Â Â Â Â => 192.168.1.99:443

SCAN RESULTS FOR 192.168.1.99:443 - 192.168.1.99:443
----------------------------------------------------
* Session Renegotiation :
Â Â Â Â
Client-initiated Renegotiations: Â Â Rejected
Secure Renegotiation: Â Â Â Â Â Â Â Supported

* Session Resumption :
Â Â Â
Using SSLv3 Session IDs: Â Â Â Supported
Â Â Â Using TLSv1 Session Tickets: Â Supported
Â Â Â Using TLSv1 Session IDs: Â Â Â Supported

* SSLV2 Cipher Suites :
Â Â Â Cipher Suite: Â Â Â Â Â Â Â Â Â Â Â Â Â Â SSL Handshake: Â Â Â Â Â HTTP GET:
Â Â Â DES-CBC3-MD5 Â 168bits Â Â Â Â Â Â Â Â Preferred Â Â Â Â Â Â Â 200 OK
Â Â Â RC4-MD5 Â 128bits Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â RC2-CBC-MD5 Â 128bits Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â EXP-RC4-MD5 Â 40bits Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â EXP-RC2-CBC-MD5 Â 40bits Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â DES-CBC-MD5 Â 56bits Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK

* SSLV3 Cipher Suites :
Â Â Â Cipher Suite: Â Â Â Â Â Â Â Â Â Â Â Â Â Â SSL Handshake: Â Â Â Â Â HTTP GET:
Â Â Â Â DHE-RSA-AES256-SHA Â 256bits Â Â Â Preferred Â Â Â Â Â Â Â 200 OK
Â Â Â Â RC4-SHA Â 128bits Â Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â RC4-MD5 Â 128bits Â Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â EXP-RC4-MD5 Â 40bits Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â EXP-RC2-CBC-MD5 Â 40bits Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â EXP-EDH-RSA-DES-CBC-SHA Â 40bits Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â EXP-DES-CBC-SHA Â 40bits Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â EDH-RSA-DES-CBC3-SHA Â 168bits Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â EDH-RSA-DES-CBC-SHA Â 56bits Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â DHE-RSA-AES128-SHA Â 128bits Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â DES-CBC3-SHA Â 168bits Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â DES-CBC-SHA Â 56bits Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â AES256-SHA Â 256bits Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â AES128-SHA Â 128bits Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â Â SEED-SHA Â Â Â Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â NULL-SHA Â Â Â Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â NULL-MD5 Â Â Â Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â EXP-EDH-DSS-DES-CBC-SHA Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â EXP-ADH-RC4-MD5 Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â EXP-ADH-DES-CBC-SHA Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â EDH-DSS-DES-CBC3-SHA Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â EDH-DSS-DES-CBC-SHA Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â DHE-RSA-SEED-SHA Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â DHE-DSS-SEED-SHA Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â DHE-DSS-AES256-SHA Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â DHE-DSS-AES128-SHA Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â ADH-SEED-SHA Â Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â ADH-RC4-MD5 Â Â Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â ADH-DES-CBC3-SHA Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â ADH-DES-CBC-SHA Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â ADH-AES256-SHA Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â Â ADH-AES128-SHA Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A

* TLSV1 Cipher Suites :
Â Â Â Cipher Suite: Â Â Â Â Â Â Â Â Â Â Â Â Â Â SSL Handshake: Â Â Â Â Â HTTP GET:
Â Â Â DHE-RSA-AES256-SHA Â 256bits Â Â Â Â Â Â Â Â Â Preferred Â Â Â Â Â Â Â 200 OK
Â Â Â RC4-SHA Â 128bits Â Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â RC4-MD5 Â 128bits Â Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â EXP-RC4-MD5 Â 40bits Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â EXP-RC2-CBC-MD5 Â 40bits Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â EXP-EDH-RSA-DES-CBC-SHA Â 40bits Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â EXP-DES-CBC-SHA Â 40bits Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â EDH-RSA-DES-CBC3-SHA Â 168bits Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â EDH-RSA-DES-CBC-SHA Â 56bits Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â DHE-RSA-AES128-SHA Â 128bits Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â DES-CBC3-SHA Â 168bits Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â DES-CBC-SHA Â 56bits Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â AES256-SHA Â 256bits Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â AES128-SHA Â 128bits Â Â Â Â Â Â Â Â Â Â Â Â Â Accepted Â Â Â Â Â Â Â Â 200 OK
Â Â Â SEED-SHA Â Â Â Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â NULL-SHA Â Â Â Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â NULL-MD5 Â Â Â Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â EXP-EDH-DSS-DES-CBC-SHA Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â EXP-ADH-RC4-MD5 Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â EXP-ADH-DES-CBC-SHA Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â EDH-DSS-DES-CBC3-SHA Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â EDH-DSS-DES-CBC-SHA Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â DHE-RSA-SEED-SHA Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â DHE-DSS-SEED-SHA Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â DHE-DSS-AES256-SHA Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â DHE-DSS-AES128-SHA Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â ADH-SEED-SHA Â Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â ADH-RC4-MD5 Â Â Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â ADH-DES-CBC3-SHA Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â ADH-DES-CBC-SHA Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â ADH-AES256-SHA Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A
Â Â Â ADH-AES128-SHA Â Â Â Â Â Â Â Â Â Â Â Â Rejected - SSL Alert Â Â Â Â Â N/A

* Certificate :
Â Â Validation w/ Mozilla's CA Store: Â Certificate is NOT Trusted
Â
Â Â Subject CN: Â Â Â Â Â Â Â Â Â Â Â Â testweb
Â Â Issuer: Â Â Â Â Â Â Â Â Â Â Â Â Â Â /C=US/ST=Utah/L=Layton/O=Foo/OU=Bar/CN=ssl.testdomain.com
Â Â Â Serial Number: Â Â Â Â Â Â Â Â Â Â BED13023A4F44702
Â Â Not before: Â Â Â Â Â Â Â Â Â Â Â Â Nov 30 04:17:55 2011 GMT
Not after: Â Â Â Â Â Â Â Â Â Â Â Â Nov 29 04:17:55 2012 GMT
Â Â Keysize: Â Â Â Â Â Â Â Â Â Â Â Â Â 1024 bits
Â Â Signature Algorithm: Â Â Â Â Â Â Â sha1WithRSAEncryption
Â Â Version: Â Â Â Â Â Â Â Â Â Â Â Â Â 1 (0x0)
Â Â SHA1 Fingerprint: Â Â Â Â Â Â Â Â Â AD1F472A0C43A77FBBA861476C0E740A5FA3516A
Â Â Number of Extensions: Â Â Â Â Â Â Â 0

SCAN COMPLETED IN 0.71 S
------------------------

Follow me on Twitter: @Jason_Wood