Delphi w Indy 10：无法通过TLS 1.2w SSL“最佳实践”连接到web服务器上

Question

问题是：我们如何让Indy10与执行最新TLS1.2 SSL最佳实践的web服务器一起工作？

Microsoft记录了最佳实践:https://technet.microsoft.com/library/security/ms12-006本质上，跨多个TLS版本使用的密码块被认为是不安全的。注意，这个kb来自2013年年中，远在狮子狗之前。

作为最佳实践，来自Delphi社区的一些与BEAST攻击相关的文章也建议禁用基于CBC的密码（http://www.atozedsoftware.com/intraweb/blog/20120905.en.aspx）

印第10构建:gsIdVersion='10.6.0.5213'；

在代码中，indy设置为:ssloptions.sslversions:=[sslvSSLv23]

和openssl libs:1.0.1.10/1.0.1j

• Win2012-R2，商业SSL证书。
• 使用Nartac软件“IIS Crypto”UI修改Win2012服务器上的SSL配置（schannel.dll配置）（屏幕快照如下）

结果：

>

当我们只实现“最佳实践”时，Indy10可以很好地连接。OpenSSL日志信息：

SSL状态：“SSLV2/V3读取服务器hello A”套接字错误#10054连接由对等方重置。

以下是IIS加密配置：（下面的最佳实践按钮一次单击即可实现Microsoft在此推荐的内容:https://technet.Microsoft.com/library/security/ms12-006)

Answer 1

正如Remy在对OP的评论中所指出的，解决方案是使用Indy10 sslioHandler的CipherList属性来设置密码列表。

可用密码：

https://www.openssl.org/docs/apps/ciphers.html

4）到目前为止，我们还没有找到一个可靠的推荐名单。

5）我们已经被告知，由于某些密码的昂贵（cpu密集）性质，可能应该避免使用。我们目前还没有进一步研究这个领域。

6）为了将来证明你的应用程序，允许一个配置或注册表项修改字段中的密码列表。（谁知道下一步会被利用和禁用...今天的SSL v3，明天的TLS 1.1....)