Bloomberg弱加密算法告警求助（Delphi 7 SFTP连接场景）

我们的服务器已更新密码套件，但通过Delphi 7代码连接Bloomberg SFTP时仍收到弱加密算法告警。当前连接代码如下：

procedure TSFTP.Connect(Host,Port,UserName,Password:string);
var NoDelay:Boolean;
begin //setup proxy settings, ... before connecting
  FSocket.RaiseExcept:=True;
   try
   FSocket.Connect(Host,Port);
    //CryptLib manual recommends to disable the Nagle algorithm
    NoDelay:=True;
    setsockopt(FSocket.Socket,IPPROTO_TCP,TCP_NODELAY,@NoDelay,SizeOf(NoDelay));
    //do ssh handshake
    FSocket.SSL.SSLType:=LT_SSHv2;
    FSocket.SSL.Username:=UserName;
    FSocket.SSL.Password:=Password;
    FSocket.SSL.SSHChannelType:='subsystem';
    FSocket.SSL.SSHChannelArg1:='sftp';
    FSocket.SSLDoConnect;
    //ShowMessage('connected successfully');
    //negotiate protocol version
    ResetSessionParams;
    Init;
  except
  Disconnect;
  raise;
 end;
end;

我们推测需升级支持最新加密套件的CryptLib文件，尝试显式设置以下加密相关参数但未生效：

FSocket.SSL.SSHCipherList := 'aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes128-ctr';
FSocket.SSL.SSHMACList := 'hmac-sha2-512,hmac-sha2-256';
FSocket.SSL.SSHKexList := 'ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256';

排查与解决建议 #

1. 确认CryptLib版本兼容性

   • 旧版CryptLib可能不支持你指定的现代加密套件（如GCM模式、SHA2系列MAC），必须升级到适配Delphi 7且支持SSH2现代加密的版本。注意部分新版本CryptLib可能不再兼容Delphi 7，需提前确认版本适配性。
   • 查阅CryptLib官方文档，确认SSHCipherList、SSHMACList、SSHKexList属性支持的套件名称格式，部分库对名称的拼写、前缀/后缀有严格要求。

2. 调整参数设置时机
   加密参数需在SSH握手前配置，当前代码的设置时机过晚，导致参数未参与协商。修改代码流程如下：

   procedure TSFTP.Connect(Host,Port,UserName,Password:string);
   var NoDelay:Boolean;
   begin 
     //setup proxy settings, ... before connecting
     FSocket.RaiseExcept:=True;
     try
       // 先配置SSH加密参数
       FSocket.SSL.SSLType:=LT_SSHv2;
       FSocket.SSL.SSHCipherList := 'aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes128-ctr';
       FSocket.SSL.SSHMACList := 'hmac-sha2-512,hmac-sha2-256';
       FSocket.SSL.SSHKexList := 'ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256';
       FSocket.SSL.Username:=UserName;
       FSocket.SSL.Password:=Password;
       FSocket.SSL.SSHChannelType:='subsystem';
       FSocket.SSL.SSHChannelArg1:='sftp';
   
       FSocket.Connect(Host,Port);
       //CryptLib manual recommends to disable the Nagle algorithm
       NoDelay:=True;
       setsockopt(FSocket.Socket,IPPROTO_TCP,TCP_NODELAY,@NoDelay,SizeOf(NoDelay));
       
       FSocket.SSLDoConnect;
       //ShowMessage('connected successfully');
       //negotiate protocol version
       ResetSessionParams;
       Init;
     except
       Disconnect;
       raise;
     end;
   end;
   

3. 匹配Bloomberg加密要求
   查阅Bloomberg官方文档，确认其SFTP服务强制要求的加密套件列表，确保你设置的参数包含对方优先级最高的套件。金融机构通常会明确指定允许的算法，未命中的话可能仍会协商到弱算法。

4. 启用调试日志定位问题
   如果CryptLib支持调试日志功能，开启后查看SSH握手过程的协商细节，确认客户端发送的套件列表、服务器最终选择的算法，以此判断是参数未生效还是服务器端配置问题。

内容的提问来源于stack exchange，提问作者VSR