unable - Cómo establecer las opciones de contexto de TLS en Ruby(como OpenSSL:: SSL:: SSL_OP_NO_SSLv2)

unable to download data from https rubygems org no such name https rubygems org specs 4.8 gz

Question

Al usar OpenSSL en C, establecemos opciones en el contexto para eliminar protocolos débiles y heridos como SSLv2 y SSLv3. Desde ssl.h , aquí hay una máscara de algunas de las opciones que son útiles:

#define SSL_OP_NO_SSLv2 0x01000000L
#define SSL_OP_NO_SSLv3 0x02000000L
#define SSL_OP_NO_TLSv1 0x04000000L
#define SSL_OP_NO_TLSv1_2 0x08000000L
#define SSL_OP_NO_TLSv1_1 0x10000000L

Sin embargo, tengo problemas para configurarlos en Ruby:

if uri.scheme == "https"
http.use_ssl = true
http.verify_mode = OpenSSL::SSL::VERIFY_PEER
http.options = OpenSSL::SSL::SSL_OP_NO_SSLv2 | OpenSSL::SSL::OP_NO_SSLv3 |
OpenSSL::SSL::SSL_OP_NO_COMPRESSION
end

Resultados en:

$ ./TestCert.rb
./TestCert.rb:12:in `<main>'': uninitialized constant OpenSSL::SSL::SSL_OP_SSL2 (NameError)

Los documentos de Ruby para 1.9.3 (y 2.0.0) ni siquiera se molestan en mencionarlo.

¿Cómo se configuran las opciones de contexto de TLS en Ruby?

Relacionado: estableciendo opciones de SSLContext en ruby . Pero no hay forma de adjuntar el contexto a un http cuando http.use_ssl = true .

Answer 1

En la biblioteca Ruby OpenSSL, las constantes de las opciones no tienen el prefijo ''SSL_''. Puede ver una lista de las constantes de las opciones ejecutando algo como esto en irb / console: OpenSSL::SSL.constants.grep(/OP_/) . Aquí está la fuente relevante de Ruby C donde están definidos: https://github.com/ruby/ruby/blob/trunk/ext/openssl/ossl_ssl.c#L2225 .

Editar: no parece haber una manera, fuera de la caja, de configurar las opciones SSL para net http. Ver https://bugs.ruby-lang.org/issues/9450 .

Sin embargo, por el momento puedes usar este pequeño truco:

(Net::HTTP::SSL_IVNAMES << :@ssl_options).uniq!
(Net::HTTP::SSL_ATTRIBUTES << :options).uniq!
Net::HTTP.class_eval do
attr_accessor :ssl_options
end

Ahora, simplemente configure el accesoador ssl_options en la instancia de Net :: HTTP. Ejemplo de uso:

uri = URI(''https://google.com:443'')
options_mask = OpenSSL::SSL::OP_NO_SSLv2 + OpenSSL::SSL::OP_NO_SSLv3 +
OpenSSL::SSL::OP_NO_COMPRESSION
http = Net::HTTP.new(uri.host, uri.port)
request = Net::HTTP::Get.new(uri.request_uri)
if uri.scheme == "https"
http.use_ssl = true
http.verify_mode = OpenSSL::SSL::VERIFY_PEER
http.ssl_options = options_mask
end
response = http.request request
# To Test
ssl_context = http.instance_variable_get(:@ssl_context)
ssl_context.options == options_mask # => true

Estaba probando con ruby ​​2.1.2 por lo que su kilometraje en otras versiones de ruby ​​puede variar. Avíseme si no funciona en su versión preferida.

Para los interesados, la parte relevante del código Ruby que miré para crear este truco: https://github.com/ruby/ruby/blob/e9dce8d1b482200685996f64cc2c3bd6ba790110/lib/net/http.rb#L886