Ugodzenie PHP nie powiodło się TLS1.0

Question

Próbuję połączyć się przez fsockopen z sendm.cert.legalmail.it na porcie 465, jest to usługa SMTPS o nazwie PEC we Włoszech.

Z każdej wersji PHP Próbowałem tej pracy Snippet:

<?php 
fsockopen('tls://sendm.cert.legalmail.it', 465); 

wszystko jest ok z OpenSSL 1.0.2h, gdybym upgrade do OpenSSL 1.0.2j ten fragment nie z tego błędu:

PHP Warning: fsockopen(): SSL operation failed with code 1. OpenSSL Error messages: 
    error:14094410:SSL routines:ssl3_read_bytes:sslv3 alert handshake failure in ~/Development/experimental/php-handshake/connect.php on line 3 
    PHP Warning: fsockopen(): Failed to enable crypto in ~/Development/experimental/php-handshake/connect.php on line 3 
    PHP Warning: fsockopen(): unable to connect to tls://sendm.cert.legalmail.it:465 (Unknown error) in ~/Development/experimental/php-handshake/connect.php on line 3 

Więc z OpenSSL 1.0.2j próbuję łączyć się za pośrednictwem linii poleceń:

openssl s_client -connect sendm.cert.legalmail.it:465 

Działa idealnie.

próbuję sprawdzić SSL na serwerze z testssl Jest to dump (usuwane):

SSLv2    not offered (OK) 
SSLv3    not offered (OK) 
TLS 1    offered 
TLS 1.1    not offered 
TLS 1.2    not offered 
Version tolerance downgraded to TLSv1.0 (OK) 

Tylko TLS 1 jest dostarczony, staram się zmusić handshake TLS1 z tego uri: 'tlsv1.0:://sendm.cert.legalmail.it' ale wynik jest to samo.

Jestem na Ubuntu 16.04, testowałem z PHP5.6 i PHP7.1.

Gdzie jest błąd? w openssl? w PHP? w uzgadnianiu serwera?

Aktualizacja jeśli patrzę na Chiper zawsze z ./testssl.sh -E sendm.cert.legalmail.it:465 z OpenSSL 1.0.2j powrotu:

x05  RC4-SHA       RSA  RC4  128  TLS_RSA_WITH_RC4_128_SHA       
x04  RC4-MD5       RSA  RC4  128  TLS_RSA_WITH_RC4_128_MD5       
x16  EDH-RSA-DES-CBC3-SHA    DH 1024 3DES  168  TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA     
x0a  DES-CBC3-SHA      RSA  3DES  168  TLS_RSA_WITH_3DES_EDE_CBC_SHA      
x15  EDH-RSA-DES-CBC-SHA    DH 1024 DES  56  TLS_DHE_RSA_WITH_DES_CBC_SHA      
x09  DES-CBC-SHA      RSA  DES  56  TLS_RSA_WITH_DES_CBC_SHA       
x14  EXP-EDH-RSA-DES-CBC-SHA   DH(512) DES  40,exp TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA    
x08  EXP-DES-CBC-SHA     RSA(512) DES  40,exp TLS_RSA_EXPORT_WITH_DES40_CBC_SHA     
x06  EXP-RC2-CBC-MD5     RSA(512) RC2  40,exp TLS_RSA_EXPORT_WITH_RC2_CBC_40_MD5     
x03  EXP-RC4-MD5      RSA(512) RC4  40,exp TLS_RSA_EXPORT_WITH_RC4_40_MD5  

z wersją OpenSSL 1.0.2h

x05  RC4-SHA       RSA  RC4  128  
x04  RC4-MD5       RSA  RC4  128  
x16  EDH-RSA-DES-CBC3-SHA    DH 1024 3DES  168  
x0a  DES-CBC3-SHA      RSA  3DES  168 

i PHP const OPENSSL_DEFAULT_STREAM_CIPHERS to samo po drugiej stronie wszystko versione zawiera:

ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:HIGH:!SSLv2:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!RC4:!ADH 

Answer 1

Ok, po niektórych badaniach znajduję dlaczego:

PHP ma OPENSSL_DEFAULT_STREAM_CIPHERS który zawiera kwerendę domyślną OpenSSL, z tym poleceniem:

openssl ciphers -v `php -r 'echo OPENSSL_DEFAULT_STREAM_CIPHERS;'` 

ja dostać wszystkie szyfry PHP może obsłużyć z obecną wersją OpenSSL zainstalowane.

Między 1.0.2h i 1.0.2j listy tej samej deklaracji zapytania różne szyfry wsparcia drop dla nich:

1. EDH-RSA-DES-CBC3-SHA
2. DES-CBC3-SHA

Więc domyślnie PHP nie może poprawnie obsługiwać połączenia , ale jeśli wymuszam na $context tym szyfrem, połączenie ma miejsce:

$context = stream_context_create(
    [ 
     'ssl' => [ 
      'ciphers' => 'EDH-RSA-DES-CBC3-SHA:DES-CBC3-SHA', 
     ], 
    ] 
); 

$fp = stream_socket_client(
    'tls://sendm.cert.legalmail.it:465', 
    $errno, 
    $errstr, 
    30, 
    STREAM_CLIENT_CONNECT, 
    $context 
); 

Answer 2

Zmieniano odpowiedź całkowicie: patrzeć na odpowiedzi tutaj HTTPS and SSL3_GET_SERVER_CERTIFICATE:certificate verify failed, CA is OK

Jest to prawdopodobnie przyczyną fsock oraz curl. Mimo, że jego pytanie dotyczy Windowsa/xampp, przypuszczam, że to pomoże, przypuszczam, że ten, który uaktualnił system operacyjny, nie połączył php.ini z nowymi wersjami

Answer 3

Dla wszystkich osób doświadczających tego samego problemu: wygląda na to, że serwer TLS Legalmail obsługuje teraz protokół TLSv1.2, więc nie stanowi to już dla nich problemu.