AWS s3cmd使用的TLS版本查询及升级至TLS1.2的方法

一、检查当前s3cmd使用的TLS版本 #

有两种直接有效的方法可以确认：

1. 通过s3cmd debug日志查看
   执行一个简单的s3cmd操作并开启debug模式，过滤TLS相关日志：

   s3cmd --debug ls s3://your-target-bucket 2>&1 | grep -i "tls\|ssl"
   

   输出内容里会明确显示握手使用的TLS版本，比如TLSv1、TLSv1.1或TLSv1.2。

2. 用openssl模拟连接验证
   直接测试本地与S3服务的TLS协商结果：

   openssl s_client -connect s3.amazonaws.com:443 -servername s3.amazonaws.com | grep -i "protocol"
   

   这个命令能反映系统openssl默认支持的TLS版本，和s3cmd实际使用的版本高度相关，但最终以s3cmd的debug日志结果为准。

二、升级到TLS 1.2 #

按以下步骤操作，确保s3cmd强制使用TLS 1.2：

1. 升级s3cmd到最新版本
   旧版s3cmd可能默认不支持TLS 1.2，优先更新到最新版：

   # 用pip升级（推荐方式）
   pip install --upgrade s3cmd
   # Debian/Ubuntu系统也可用包管理器升级
   sudo apt update && sudo apt install --only-upgrade s3cmd
   

2. 修改配置文件强制启用TLS 1.2
   编辑s3cmd的默认配置文件（路径一般为~/.s3cfg），添加或修改以下配置项：

   ssl_protocol = TLSv1.2
   

   保存后，s3cmd会强制使用TLS 1.2发起所有S3请求。

3. 确保系统依赖支持TLS 1.2

   • 检查openssl版本：TLS 1.2需要openssl 1.0.1c及以上版本，执行openssl version查看，版本不足则升级系统openssl。
   • 检查Python ssl模块：运行以下命令确认Python支持TLS 1.2：

     python -c "import ssl; print(ssl.OPENSSL_VERSION); print('TLSv1.2 supported:', hasattr(ssl, 'PROTOCOL_TLSv1_2'))"
     

     如果显示不支持，建议升级到Python 3.6及以上版本，对TLS 1.2的支持更完善。

三、验证升级成功 #

再次执行第一步的debug命令：

s3cmd --debug ls s3://your-target-bucket 2>&1 | grep -i tls

如果输出显示TLSv1.2，说明配置生效，已成功完成升级。

内容的提问来源于stack exchange，提问作者Ajay