SSLScan est un outil en ligne de commande utilisé pour analyser les configurations SSL/TLS des serveurs web. Il permet de vérifier les certificats SSL/TLS, les protocoles supportés, les suites de chiffrement, et d'autres paramètres de sécurité. SSLScan est particulièrement utile pour les administrateurs système, les professionnels de la sécurité et les auditeurs qui ont besoin de vérifier la sécurité des configurations SSL/TLS de leurs serveurs.
Fonctionnalités Principales de SSLScan
- Analyse des Certificats SSL/TLS : Vérifie les certificats SSL/TLS pour détecter les problèmes de validité, d'expiration, et de chaîne de certificats.
- Détection des Protocoles Supportés : Identifie les protocoles SSL/TLS supportés par le serveur (par exemple, SSLv2, SSLv3, TLSv1.0, TLSv1.1, TLSv1.2, TLSv1.3).
- Détection des Suites de Chiffrement : Identifie les suites de chiffrement supportées par le serveur.
- Détection des Vulnérabilités : Détecte les vulnérabilités connues dans les configurations SSL/TLS (par exemple, Heartbleed, POODLE, BEAST).
- Rapports : Génère des rapports détaillés sur les configurations SSL/TLS analysées.
Installation de SSLScan
SSLScan est disponible sur plusieurs plateformes, y compris Linux, Windows et macOS. Voici comment l'installer sur différentes plateformes :
Sur Debian/Ubuntu
sudo apt-get update
sudo apt-get install sslscan
Sur Kali Linux
SSLScan est préinstallé sur Kali Linux. Vous pouvez le mettre à jour en utilisant :
sudo apt-get update
sudo apt-get install sslscan
Sur Fedora
sudo dnf install sslscan
Sur macOS
Vous pouvez installer SSLScan via Homebrew :
brew install sslscan
Sur Windows
Vous pouvez télécharger SSLScan depuis le site officiel de GitHub et l'exécuter en utilisant Cygwin ou WSL (Windows Subsystem for Linux).
- Téléchargez SSLScan depuis GitHub.
- Extrayez le fichier ZIP.
- Ouvrez un terminal ou une invite de commande et naviguez jusqu'au répertoire extrait.
- Exécutez SSLScan en utilisant la commande suivante :
./sslscan.exe
Utilisation de Base
1. Analyser un Serveur SSL/TLS
Pour analyser un serveur SSL/TLS :
sslscan example.com
2. Analyser un Serveur SSL/TLS sur un Port Spécifique
Pour analyser un serveur SSL/TLS sur un port spécifique :
sslscan example.com:443
3. Analyser un Serveur SSL/TLS avec un Fichier de Configuration
Pour analyser un serveur SSL/TLS en utilisant un fichier de configuration :
sslscan --config=config.txt example.com
Le fichier config.txt
doit contenir les paramètres de configuration pour l'analyse.
4. Analyser un Serveur SSL/TLS avec un Niveau de Verbosité
Pour analyser un serveur SSL/TLS avec un niveau de verbosité :
sslscan --verbose example.com
5. Analyser un Serveur SSL/TLS et Générer un Rapport XML
Pour analyser un serveur SSL/TLS et générer un rapport au format XML :
sslscan --xml=report.xml example.com
Exemples de Ligne de Commande Avancés
1. Analyser un Serveur SSL/TLS et Afficher les Suites de Chiffrement
Pour analyser un serveur SSL/TLS et afficher les suites de chiffrement supportées :
sslscan --show-ciphers example.com
2. Analyser un Serveur SSL/TLS et Afficher les Protocoles Supportés
Pour analyser un serveur SSL/TLS et afficher les protocoles supportés :
sslscan --show-protocols example.com
3. Analyser un Serveur SSL/TLS et Afficher les Vulnérabilités
Pour analyser un serveur SSL/TLS et afficher les vulnérabilités détectées :
sslscan --show-vulns example.com
4. Analyser un Serveur SSL/TLS et Générer un Rapport JSON
Pour analyser un serveur SSL/TLS et générer un rapport au format JSON :
sslscan --json=report.json example.com
5. Analyser un Serveur SSL/TLS et Afficher les Détails des Certificats
Pour analyser un serveur SSL/TLS et afficher les détails des certificats :
sslscan --show-certificate example.com
Conclusion
SSLScan est un outil puissant et flexible pour l'analyse des configurations SSL/TLS des serveurs web. Il permet de vérifier les certificats SSL/TLS, les protocoles supportés, les suites de chiffrement, et d'autres paramètres de sécurité. Pour les débutants, il est recommandé de commencer par les fonctionnalités de base comme l'analyse d'un serveur SSL/TLS et l'affichage des suites de chiffrement, puis de progresser vers des fonctionnalités plus avancées comme l'affichage des protocoles supportés, des vulnérabilités détectées, et la génération de rapports détaillés.
N'oubliez pas de consulter la documentation officielle de SSLScan pour des informations plus détaillées et des tutoriels supplémentaires. Vous pouvez également explorer les options supplémentaires et les fonctionnalités avancées pour tirer le meilleur parti de cet outil.
Liens :
https://github.com/rbsec/sslscan
https://linuxtrack.net/wiki/doku.php?id=sslscan
https://korben.info/detecter-config-ssl-vulnerabilites-associees.html
Youtube :