如何配置OpenSSL 1.0.2使其仅支持TLS1.2，拒绝低版本协议？

OpenSSL 1.0.2系列确实不支持1.1.0及以上版本引入的MinProtocol全局配置项，所以无法通过修改openssl.cnf的ssl_conf语法实现全局默认拒绝TLSv1.1及以下版本。但可以通过以下替代方案实现目标：

1. 强制限制openssl二进制工具的协议版本 #

可以通过Shell别名或包装脚本，让所有openssl命令默认仅使用TLSv1.2：

• 全局生效（所有用户）：编辑/etc/profile.d/openssl-tls12.sh，添加内容：

  alias openssl='openssl -tls1_2'
  

  执行source /etc/profile.d/openssl-tls12.sh立即生效，后续所有用户登录后执行openssl命令时都会自动带上-tls1_2参数，尝试使用TLSv1.1及以下版本的操作（如openssl s_client -tls1 -connect example.com:443）会直接失败。

2. 限制不受控的Python 3.9及以下版本的SSL模块 #

由于Python 3.9及以下的ssl模块依赖系统OpenSSL，可通过LD_PRELOAD钩子强制全局设置协议限制：

1. 编写一个简单的C钩子库（例如tls_restrict.c），拦截OpenSSL的SSL_CTX_new函数，强制禁用旧协议：

   #include <openssl/ssl.h>
   #include <dlfcn.h>
   
   static SSL_CTX* (*original_SSL_CTX_new)(const SSL_METHOD *meth) = NULL;
   
   SSL_CTX* SSL_CTX_new(const SSL_METHOD *meth) {
       if (!original_SSL_CTX_new) {
           original_SSL_CTX_new = dlsym(RTLD_NEXT, "SSL_CTX_new");
       }
       SSL_CTX *ctx = original_SSL_CTX_new(meth);
       if (ctx) {
           // 禁用SSLv2、SSLv3、TLSv1、TLSv1.1
           SSL_CTX_set_options(ctx, SSL_OP_NO_SSLv2 | SSL_OP_NO_SSLv3 | SSL_OP_NO_TLSv1 | SSL_OP_NO_TLSv1_1);
       }
       return ctx;
   }
   

2. 编译成共享库：

   gcc -fPIC -shared -o libtls_restrict.so tls_restrict.c -ldl -lcrypto -lssl
   

3. 全局生效：编辑/etc/profile.d/tls_restrict.sh添加：

   export LD_PRELOAD=/path/to/libtls_restrict.so
   

   或者针对特定Python进程设置环境变量，执行Python脚本时：

   LD_PRELOAD=/path/to/libtls_restrict.so python3 your_script.py
   

   这样所有通过该OpenSSL库创建的SSL上下文都会强制禁用旧协议，不受控的Python代码尝试使用TLSv1.1及以下版本时会触发连接失败。

3. 服务端单独配置（若涉及服务端程序） #

如果需要限制HTTPD、Nginx等服务端的协议版本，可以直接在服务配置中设置：

• Nginx：在server块中添加：

  ssl_protocols TLSv1.2;
  

• HTTPD：在SSL配置段添加：

  SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
  

  这类服务直接通过OpenSSL API设置协议，无需依赖全局OpenSSL配置。

内容的提问来源于stack exchange，提问作者MarnixKlooster ReinstateMonica