SSL Labs: Dank neuer API Hunderte Webserver komfortabel scannen
Qualys baut seine SSL Labs aus und erlaubt nun Massentests der SSL/TLS-VerschlĂĽsselung von Webservern. Ein neues Tool kann PrĂĽfungen automatisieren und Admins vor einer Herabsetzung der VerschlĂĽsselung warnen.
(Bild: dpa, Jens Wolf)
Die SSL Labs von Qualys haben sich als wichtiges Werkzeug zum Test der SSL-Verschlüsselung von Webservern und Browsern etabliert. Jetzt stellen die Macher eine neue Programmierschnittstelle (API) vor, mit der Admins im Handumdrehen kostenlos ganze Serverparks scannen und auf schwache Verschlüsselungen prüfen können. Bis dato war der SSL-Test nur über die Web-Oberfläche nutzbar.
Mit dem passenden Kommandozeilen-Tool ssllabs-scan sollen die Tests über die API noch komfortabler vonstatten gehen. Das Tool ist Open Source unter der Apache-Lizenz und im Rahmen von automatisierten Scan-Prozessen kann es Admins auch warnen, wenn sich die eingesetzte Verschlüsslung herabsetzen lässt und ein Sicherheitsrisiko darstellt.
Momentan lassen sich ausschlieĂźlich Webserver testen
Entwickler Ivan Ristić zufolge baut die API direkt auf die SSL-Labs-Infrastruktur auf und wickelt die Tests über die Servers des Unternehmens ab. Eine lokale Nutzung ist demzufolge nicht möglich. Somit nutzt auch das Open-Source-Tool immer die proprietäre Technik auf den Qualys-Servern für die eigentlichen Scans. Alternativ bietet sich der SSL-Tester SSLyze an, der komplett lokal arbeitet und mit dem Admins neben Webservern auch IMAP und andere Dienste testen können.
Die API von SSL Labs kann derzeit hingegen nur die Verschlüsselungstechniken von Webservern testen. In den kommenden Monaten sollen weitere Dienste folgen, versicherte Ristić gegenüber heise Security. Die API basiert auf HTTP und JSON und fragt von Qualys vordefinierte Sicherheits-Parameter, wie etwa unterstützte Cipher Suites, von Web-Servern über GET-Requests ab. Client-seitige Software kann nicht getestet werden. (des)
