.\" generated with Ronn-NG/v0.9.1 .\" http://github.com/apjanke/ronn-ng/tree/0.9.1 .TH "TESTSSL" "1" "December 2021" "" .SH "نام (NAME)" \fBtestssl\fR .SH "نام (NAME)" testssl\.sh \- بررسی رمزنگاری سرورهای SSL/TLS .SH "خلاصه دستور (SYNOPSIS)" \fBtestssl\.sh [OPTIONS] \fR, \fBtestssl\.sh [OPTIONS] \-\-file \fR .P یا .P \fBtestssl\.sh [BANNER OPTIONS]\fR .SH "توضیحات (DESCRIPTION)" برنامه testssl\.sh یک ابزار خط فرمانی رایگان است که سرویس یک سرور را روی هر پورتی از نظر پشتیبانی از رمزهای TLS/SSL، پروتکل‌ها و همچنین آسیب‌پذیری‌های رمزنگاری و موارد دیگر بررسی می‌کند\. .P خروجی، یافته‌ها را بر اساس رنگ (صفحه نمایش) یا شدت اهمیت (خروجی فایل) رتبه‌بندی می‌کند تا بتوانید خوب یا بد بودن وضعیت را تشخیص دهید\. خروجی (صفحه نمایش) چندین بخش دارد که در آن‌ها دسته‌بندی‌های مختلفی از بررسی‌ها انجام می‌شود\. برای تسهیل خوانایی روی صفحه نمایش، خروجی به‌طور مناسب تراز و دارای تورفتگی می‌شود\. .P نتیجه تنها توسط شما دیده می‌شود\. همچنین می‌توانید از آن به صورت داخلی در شبکه محلی (LAN) خود استفاده کنید\. به جز پرس‌وجوهای DNS یا مگر اینکه به testssl\.sh دستور دهید ابطال گواهی‌ها را بررسی کند، از هیچ میزبان دیگر یا شخص ثالثی برای هیچ آزمایشی استفاده نمی‌کند\. .SH "پیش‌نیازها (REQUIREMENTS)" ابزار testssl\.sh به صورت پیش‌فرض و بدون نیاز به دستکاری قابل‌حمل (portable) است: روی هر پشتهٔ شبه‌یونیکس از جمله Linux، *BSD، MacOS X، WSL (زیرسیستم ویندوز برای لینوکس)، Cygwin و MSYS2 اجرا می‌شود\. پوستهٔ \fBbash\fR یک پیش‌نیاز است و نسخهٔ ۳ نیز همچنان پشتیبانی می‌شود\. ابزارهای استانداردی مانند awk، sed، tr و head نیز مورد نیاز هستند\. این ابزارها می‌توانند از نسخهٔ BSD، System 5 یا GNU باشند، اگرچه grep از System V هنوز پشتیبانی نمی‌شود\. .P هر نسخه‌ای از OpenSSL یا LibreSSL به عنوان یک ابزار کمکی مورد نیاز است\. برخلاف نسخه‌های پیشین testssl\.sh، تقریباً تمام بررسی‌ها از طریق سوکت‌های (TCP) انجام می‌شوند\. علاوه بر این، باینری‌های OpenSSL با پیوند ایستا (statically linked) برای سیستم‌عامل‌های اصلی در مسیر \fB\./bin/\fR ارائه شده‌اند\. .SH "کلیات (GENERAL)" اجرای \fBtestssl\.sh URI\fR به عنوان فراخوانی پیش‌فرض، اصطلاحاً «اجرای پیش‌فرض» (default run) را انجام می‌دهد که تعدادی از بررسی‌ها را انجام داده و نتایج را به‌صورت رنگی (ANSI و termcap) روی صفحه نمایش چاپ می‌کند\. این دستور تمام بررسی‌های ذکر شده در زیر به جز \fB\-E\fR را به ترتیب زیر انجام می‌دهد: .P ۰) یک بنر را نمایش می‌دهد (به زیر مراجعه کنید)، یک جستجوی DNS برای آدرس‌های IP دیگر انجام می‌دهد و برای آدرس IP بازگشتی یک جستجوی معکوس (reverse lookup) انجام می‌دهد\. در نهایت، یک بررسی سرویس انجام می‌شود\. .P ۱) بررسی پروتکل‌های SSL/TLS .P ۲) دسته‌بندی‌های استاندارد سایفر .P ۳) اولویت‌های سایفر سرور (ترتیب سرور؟) .P ۴) رازداری پیشرو (forward secrecy): سایفرها و منحنی‌های بیضوی .P ۵) پیش‌فرض‌های سرور (اطلاعات گواهی، افزونه‌های TLS، اطلاعات نشست) .P ۶) سرایند HTTP (در صورت شناسایی HTTP یا تحمیل آن از طریق \fB\-\-assume\-http\fR) .P ۷) آسیب‌پذیری‌ها .P ۸) آزمایش تک‌تک ۳۷۰ سایفر از پیش پیکربندی شده .P ۹) شبیه‌سازی کلاینت .P ۱۰) رتبه‌بندی .SH "گزینه‌ها و پارامترها (OPTIONS AND PARAMETERS)" گزینه‌ها به صورت کوتاه یا بلند هستند\. هر گزینهٔ کوتاه یا بلندی که به مقدار نیاز دارد را می‌توان با یا بدون علامت مساوی فراخوانی کرد؛ مثلاً \fBtestssl\.sh \-t=smtp \-\-wide \-\-openssl=/usr/bin/openssl \fR (گزینه‌های کوتاه با علامت مساوی) معادل است با \fBtestssl\.sh \-\-starttls smtp \-\-wide \-\-openssl /usr/bin/openssl \fR (گزینهٔ بلند بدون علامت مساوی)\. برخی از گزینه‌های خط فرمان را می‌توان از طریق متغیرهای محیطی نیز از پیش تنظیم کرد\. عبارت \fBWIDE=true OPENSSL=/usr/bin/openssl testssl\.sh \-\-starttls=smtp \fR معادل مثال‌های ذکر شده خواهد بود\. اولویت خط فرمان همواره بالاتر از متغیرهای محیطی است\. .P مقدار \fB\fR یا \fB\-\-file \fR همیشه باید آخرین پارامتر باشد\. .SS "گزینه‌های بنر (BANNER OPTIONS)" \fB\-\-help\fR (یا بدون آرگومان) راهنمای خط فرمان را نمایش می‌دهد\. .P \fB\-b, \-\-banner\fR بنر testssl\.sh را شامل پروانه، شرایط استفاده، نسخهٔ testssl\.sh، نسخهٔ شناسایی‌شدهٔ openssl، مسیر دسترسی به آن، تعداد سایفرهای openssl، تاریخ ساخت آن و معماری را نمایش می‌دهد\. .P \fB\-v, \-\-version\fR همانند مورد قبل\. .P \fB\-V [pattern], \-\-local [pattern]\fR تمام سایفرهای محلی پشتیبانی‌شده توسط نسخهٔ openssl را با قالب‌بندی مرتب چاپ می‌کند\. اگر یک الگو (pattern) ارائه شود، تطابقی (بدون توجه به بزرگی و کوچکی حروف) روی هر یک از رشته‌های موجود در خروجی عریض (wide) انجام می‌دهد؛ به بخش زیر مراجعه کنید\. الگو در هر یک از این ستون‌ها جستجو خواهد شد: کد هگزادسیمال (hexcode)، نام مجموعه سایفر (OpenSSL یا IANA)، تبادل کلید، رمزنگاری و بیت‌ها\. برای موارد غیرعددی تطابق الگوی کلمه (word pattern match) انجام می‌دهد و برای اعداد فقط یک تطابق معمولی اعمال می‌شود\. اعداد در اینجا به صورت [0\-9,A\-F] تعریف می‌شوند\. این بدان معناست که (نکتهٔ مهم) الگوی CBC به عنوان غیرکلمه تطابق داده می‌شود، اما AES به عنوان کلمه تطابق می‌یابد\. این گزینه همچنین \fB\-\-openssl=\fR را نیز می‌پذیرد\. .SS "پارامترهای ورودی (INPUT PARAMETERS)" مقدار \fBURI\fR می‌تواند نام میزبان، یک آدرس IPv4 یا IPv6 (محدودیت‌ها در زیر آمده است) یا یک نشانی وب (URL) باشد\. آدرس‌های IPv6 باید داخل قلاب (کروشه) قرار گیرند\. برای هر پارامتر داده شده، پورت ۴۴۳ فرض می‌شود مگر اینکه با افزودن دو نقطه و شماره پورت مشخص شده باشد\. تنها پیشوند مشخص‌کنندهٔ پروتکل مجاز \fBhttps\fR است\. باید آگاه باشید که بررسی یک آدرس IP ممکن است به میزبان مجازی (vhost) مورد نظر شما اصابت نکند\. تفکیک DNS (رکورد A/AAAA) انجام می‌شود مگر اینکه ورودی برای نام میزبان در \fB/etc/hosts\fR داشته باشید\. .P گزینهٔ \fB\-\-file \fR یا معادل آن \fB\-iL \fR گزینه‌های آزمایش انبوه هستند\. این گزینه به صورت پیش‌فرض به طور ضمنی \fB\-\-warnings batch\fR را فعال می‌کند، مگر اینکه هشدارها قبلاً خاموش شده باشند\. در حالت اول، گزینهٔ آزمایش انبوه خطوط فرمان را از \fBfname\fR می‌خواند\. فایل \fBfname\fR شامل خطوط فرمان testssl است؛ هر خط برای یک نمونه\. توضیحات پس از \fB#\fR نادیده گرفته می‌شوند، \fBEOF\fR پایان fname را اعلام می‌کند و خطوط بعدی نیز نادیده گرفته خواهند شد\. همچنین می‌توانید گزینه‌های اضافی را مشخص کنید که به هر زیرفرآیند به ارث برسد، مثلاً هنگام فراخوانی \fBtestssl\.sh \-\-wide \-\-log \-\-file \fR\. هر خط منفرد در \fBfname\fR هنگام اجرا تجزیه می‌شود\. اگر گزینهٔ متناقضی وجود داشته باشد و آزمایش انبوه ترتیبی در حال انجام باشد، بررسی در لحظهٔ وقوع متوقف می‌شود و بسته به گزینهٔ خروجی، ممکن است فایل خروجی بدون پانویس رها شود\. در حالت موازی نتایج متفاوت است و احتمالاً آن خط اسکن نخواهد شد\. .P به عنوان روش جایگزین، \fBfname\fR می‌تواند در قالب خروجی قابل grep ابزار \fBnmap\fR (گزینهٔ \fB\-oG\fR) باشد\. فقط پورت‌های باز در نظر گرفته می‌شوند\. پورت‌های چندگانه در هر خط مجاز هستند\. پورت‌ها می‌توانند متفاوت باشند و توسط testssl\.sh طبق عرف رایج در اینترنت آزمایش خواهند شد؛ یعنی اگر nmap در خروجی خود پورت ۲۵ را باز نشان دهد، به طور خودکار \fB\-t smtp\fR قبل از URI اضافه می‌شود، در حالی که با پورت ۴۶۵ مانند یک پورت مستقیم TLS/SSL رفتار می‌شود که نیازی به دست‌تکانی اولیهٔ STARTTLS SMTP ندارد\. این کار توسط یک جدول داخلی انجام می‌شود که پورت بازِ شناسایی‌شده توسط nmap را با تصمیم STARTTLS/متن ساده در testssl\.sh تطبیق می‌دهد\. .P خروجی Nmap همیشه آدرس‌های IP را برمی‌گرداند و تنها در صورت موجود بودن رکورد PTR DNS، نام میزبان را ارائه می‌دهد\. از آنجا که nmap مطابقت نام میزبان با IP (رکورد A یا AAAA) را بررسی نمی‌کند، testssl\.sh این کار را به صورت خودکار برای شما انجام می‌دهد\. اگر رکورد A مربوط به نام میزبان با آدرس IP مطابقت داشته باشد، به جای آدرس IP از نام میزبان استفاده می‌شود\. لطفاً به یاد داشته باشید که بررسی روی آدرس IP ممکن است به میزبان مجازی مد نظرتان برخورد نکند و در نتیجه ممکن است به نتایج متفاوتی منجر شود\. .P یک تبدیل داخلی معمول از قالب قابل grep ابزار nmap به قالب فایل testssl\.sh می‌تواند مانند این باشد: .P \fB10\.10\.12\.16:443 10\.10\.12\.16:1443 \-t smtp host\.example\.com:25 host\.example\.com:443 host\.example\.com:631 \-t ftp 10\.10\.12\.11:21 10\.10\.12\.11:8443\fR لطفاً توجه داشته باشید که \fBfname\fR باید در قالب یونیکس باشد\. کاراکترهای بازگشت به ابتدای سطر داس (DOS carriage returns) پذیرفته نمی‌شوند\. به جای سوئیچ خط فرمان، متغیر محیطی FNAME نیز پذیرفته خواهد شد\. .P \fB\-\-mode \fR\. آزمایش انبوه به صورت ترتیبی (پیش‌فرض) یا موازی انجام شود (\fB\-\-parallel\fR میان‌بری برای دومی است و \fB\-\-serial\fR گزینهٔ مخالف آن است)\. به طور پیش‌فرض آزمایش انبوه در حالت ترتیبی (serial) اجرا می‌شود، یعنی خطوط یکی پس از دیگری پردازش و فراخوانی می‌شوند\. متغیر \fBMASS_TESTING_MODE\fR را می‌توان برابر با \fBserial\fR یا \fBparallel\fR تعریف کرد\. .P \fB\-\-warnings \fR\. پارامتر هشدارها تعیین می‌کند که testssl\.sh چگونه با شرایطی که معمولاً ورودی کاربر در آن‌ها لازم است برخورد کند\. دو گزینه وجود دارد: \fBbatch\fR هنگام برخورد با مشکل سمت کلاینت یا سرور منتظر فشردن کلید تأیید نمی‌ماند؛ از نسخهٔ 3.0 در چنین حالتی صرفاً همان اسکن خاص خاتمه می‌یابد\. این حالت به طور خودکار برای آزمایش انبوه (\fB\-\-file\fR) انتخاب می‌شود\. حالت \fBoff\fR هشدار و تأیید را نادیده می‌گیرد و اسکن را بدون توجه به منطقی بودن یا نبودن آن ادامه می‌دهد\. لطفاً توجه داشته باشید که در برخی تداخل‌ها، testssl\.sh همچنان درخواست تأیید خواهد کرد، که این موارد شامل تداخل‌هایی است که در غیر این صورت تأثیر چشمگیری بر نتایج خواهند گذاشت\. تقریباً هر تصمیم دیگری در آینده به عنوان بهترین حدس توسط testssl\.sh اتخاذ خواهد شد\. همین رفتار را می‌توان با تنظیم متغیر محیطی \fBWARNINGS\fR نیز به دست آورد\. .P \fB\-\-connect\-timeout \fR این گزینه برای اتصالات سوکت TCP به یک گره کاربرد دارد\. اگر گره دست‌تکانی TCP را تکمیل نکند (مثلاً به دلیل خاموش بودن، قرار داشتن پشت فایروال، وجود یک IDS یا tarpit)، معمولاً ممکن است testssl\.sh حدود ۲ دقیقه یا حتی بسیار بیشتر معلق بماند\. این پارامتر به testssl\.sh دستور می‌دهد که حداکثر \fBseconds\fR ثانیه برای تکمیل دست‌تکانی منتظر بماند و سپس انصراف دهد\. این گزینه فقط در صورتی کار می‌کند که باینری timeout روی سیستم‌عامل شما نصب شده باشد\. CONNECT_TIMEOUT متغیر محیطی متناظر با آن است\. .P \fB\-\-openssl\-timeout \fR این گزینه به ویژه برای تمام اتصالات با استفاده از openssl و عملاً برای آزمایش‌های انبوه مفید است\. این گزینه مانع از معلق ماندن اتصال openssl برای حدود ۲ دقیقه می‌شود\. پارامتر مورد انتظار \fBseconds\fR به testssl\.sh دستور می‌دهد که پیش از پایان دادن به اتصال openssl چقدر منتظر بماند\. این گزینه فقط در صورتی در دسترس است که سیستم‌عامل شما دارای باینری timeout نصب‌شده باشد\. با توجه به وجود پیاده‌سازی‌های مختلف از \fBtimeout\fR، این ابزار به طور خودکار باینری را با پارامترهای صحیح فراخوانی می‌کند\. OPENSSL_TIMEOUT متغیر محیطی معادل است\. .P \fB\-\-basicauth \fR این گزینه می‌تواند برای ارائهٔ اطلاعات احراز هویت پایه‌ای HTTP (Basic Auth) تنظیم شود که در طول بررسی سرایندهای امنیتی استفاده می‌شوند\. BASICAUTH متغیر محیطی است که می‌توانید به جای آن استفاده کنید\. .P \fB\-\-reqheader
\fR این گزینه می‌تواند برای افزودن سرایندهای درخواست HTTP اضافی در قالب صحیح \fBHeadername: headercontent\fR استفاده شود\. در صورت لزوم این پارامتر را می‌توان چندین بار فراخوانی کرد؛ به عنوان مثال: \fB\-\-reqheader 'Proxy\-Authorization: Basic dGVzdHNzbDpydWxlcw==' \-\-reqheader 'ClientID: 0xDEADBEAF'\fR\. متغیر REQHEADER متغیر محیطی متناظر با آن است\. .SS "فراخوانی‌های ویژه (SPECIAL INVOCATIONS)" \fB\-t , \-\-starttls \fR یک اجرای پیش‌فرض را در برابر یک \fBprotocol\fR با قابلیت STARTTLS انجام می‌دهد\. پارامتر \fBprotocol\fR باید یکی از این موارد باشد: \fBftp\fR، \fBsmtp\fR، \fBpop3\fR، \fBimap\fR، \fBxmpp\fR، \fBsieve\fR، \fBxmpp\-server\fR، \fBtelnet\fR، \fBldap\fR، \fBirc\fR، \fBlmtp\fR، \fBnntp\fR، \fBpostgres\fR، \fBmysql\fR\. برای چهار مورد آخر، مثلاً به OpenSSL ارائه‌شده یا نسخهٔ 1.1.1 از OpenSSL نیاز دارید\. لطفاً توجه داشته باشید: MongoDB اتصال STARTTLS ارائه نمی‌دهد، IRC در حال حاضر تنها با \fB\-\-ssl\-native\fR کار می‌کند\. پشتیبانی از \fBirc\fR در حال توسعه است\. .P \fB\-\-xmpphost \fR یک گزینهٔ اضافی برای XMPP فعال‌شده با STARTTLS است: این گزینه دامنهٔ jabber را به عنوان پارامتر می‌پذیرد\. این پارامتر فقط زمانی مورد نیاز است که دامنه با URI ارائه‌شده متفاوت باشد\. .P \fB\-\-mx \fR تمام رکوردهای MX (شامل STARTTLS روی پورت ۲۵) را از اولویت بالا به پایین، یکی پس از دیگری بررسی می‌کند\. .P \fB\-\-ip \fR به جای تفکیک نام میزبان(ها) در \fB\fR، آدرس IPv4 یا IPv6 داده شده را آزمایش می‌کند\. آدرس‌های IPv6 باید در داخل قلاب قرار داده شوند\. \fB\-\-ip=one\fR به این معنی است: فقط اولین رکورد A که DNS برمی‌گرداند را آزمایش کن (برای IPهای چندگانه مفید است)\. اگر \fB\-6\fR و \fB\-\-ip=one\fR ارائه شده باشند، در صورت موجود بودن، یک رکورد AAAA انتخاب خواهد شد\. گزینهٔ \fB\-\-ip\fR همچنین می‌تواند زمانی مفید باشد که بخواهید نام میزبان داده شده را به IP متفاوتی تفکیک کنید، مشابه اینکه \fB/etc/hosts\fR یا \fB/c/Windows/System32/drivers/etc/hosts\fR را ویرایش کرده باشید\. مقدار \fB\-\-ip=proxy\fR تلاش می‌کند تفکیک DNS را از طریق پیشکار (proxy) انجام دهد\. ترکیب \fB\-\-ip=proxy\fR به همراه \fB\-\-nodns=min\fR برای شرایطی که DNS محلی وجود ندارد مفید است، زیرا هنگام تلاش برای تفکیک رکوردهای CAA، TXT و MX با انقضای زمان DNS مواجه نخواهید شد\. .P \fB\-\-proxy :\fR هرگونه بررسی را از طریق پیشکار (proxy) مشخص شده انجام می‌دهد\. مقدار \fB\-\-proxy=auto\fR تنظیمات پیشکار را از متغیرهای محیط به ارث می‌برد\. هر نام میزبان ارائه‌شده به اولین رکورد A تفکیک می‌شود و در صورت عدم وجود، از رکورد AAAA استفاده خواهد شد\. آدرس‌های IPv4 و IPv6 نیز می‌توانند پاس داده شوند که دومی \fIهمچنین\fR با نمادگذاری قلاب (کروشه) است\. لطفاً توجه داشته باشید که برای کارکرد پیشکار روی IPv6 به نسخهٔ جدیدتری از OpenSSL یا LibreSSL نیاز دارید\. علاوه بر این، اگر می‌خواهید جستجوها از طریق پیشکار انجام شود، می‌توانید \fBDNS_VIA_PROXY=true\fR را مشخص کنید\. بررسی ابطال OCSP (با \fB\-S \-\-phone\-out\fR) توسط OpenSSL از طریق پیشکار پشتیبانی نمی‌شود\. از آنجا که ارائهٔ پیشکار نشان‌دهندهٔ مسدود بودن پورت‌های خروجی ۸۰ و ۴۴۳ در شبکهٔ شما است، بررسی ابطال OCSP انجام نخواهد شد\. با این حال، اگر \fBIGN_OCSP_PROXY=true\fR ارائه شده باشد، به صورت مستقیم تلاش خواهد شد\. احراز هویت در پیشکار پشتیبانی نمی‌شود\. پیشکار از طریق آدرس‌های IPv6 پشتیبانی نمی‌شود، و همچنین پیشکارهای HTTPS یا SOCKS پشتیبانی نمی‌شوند\. .P \fB\-6\fR بررسی‌های IPv6 را (نیز) انجام می‌دهد\. لطفاً توجه داشته باشید که testssl\.sh بررسی‌ها را به صورت خودکار روی آدرس IPv6 انجام نمی‌دهد؛ به دو دلیل: testssl\.sh هیچ بررسی اتصالی برای IPv6 انجام نمی‌دهد و نمی‌تواند به طور قابل اعتمادی تشخیص دهد که آیا باینری OpenSSL مورد استفاده شما از s_client در IPv6 پشتیبانی می‌کند یا خیر\. گزینهٔ \fB\-6\fR فرض می‌کند که هر دو شرط برقرار است\. اگر هر دو شرط برقرار باشند و به‌طور کلی ترجیح می‌دهید شاخه‌های IPv6 را نیز آزمایش کنید، می‌توانید \fBHAS_IPv6\fR را به محیط پوستهٔ خود اضافه کنید\. علاوه بر باینری OpenSSL ارائه‌شده، عملکرد IPv6 با نسخه‌های اصلی OpenSSL نسخهٔ 1.1.0 یا بالاتر و نسخه‌های قدیمی‌تر 1.0.2 یا بالاتر در RHEL/CentOS/FC و Gentoo شناخته شده است\. .P \fB\-\-ssl\-native\fR به جای استفاده از ترکیبی از سوکت‌های bash و چند اتصال s_client مربوط به openssl، برنامه testssl\.sh (تقریباً) فقط از دومی استفاده می‌کند\. این روش سریع‌تر است اما نتایج با دقت کمتری را ارائه می‌دهد، به ویژه برای شبیه‌سازی کلاینت و پشتیبانی از سایفرها\. برای همهٔ بررسی‌ها، اگر testssl\.sh نتواند تشخیص دهد که آیا بررسی خاصی قابل انجام است یا خیر، هشداری مشاهده خواهید کرد\. با این حال، در برخی بررسی‌ها ممکن است بدون دریافت هشدار، با منفی کاذب (false negatives) مواجه شوید؛ بنابراین استفاده از آن توصیه نمی‌شود\. این گزینه تنها زمانی باید استفاده شود که سرعت را به دقت ترجیح می‌دهید یا می‌دانید که هدف شما با پروتکل‌ها و سایفرهای ارائه‌شده توسط باینری openssl شما هم‌پوشانی کافی دارد\. .P \fB\-\-openssl \fR ابزار testssl\.sh ابتدا تلاش زیادی برای یافتن باینری ارائه‌شده می‌کند (مکانی که درخت testssl\.sh در آن قرار دارد، دایرکتوری‌ای که testssl\.sh از آنجا اجرا شده و غیره)\. اگر هیچ‌یک از این‌ها جواب ندهد، به باینری openssl ارائه‌شده توسط سیستم‌عامل (\fB$PATH\fR) بازمی‌گردد\. با این گزینه می‌توانید testssl\.sh را به باینری مورد نظر خود هدایت کرده و هرگونه سازوکار داخلی برای یافتن باینری openssl را لغو کنید (تنظیم متغیر محیطی از پیش تعیین‌شده از طریق \fBOPENSSL=\fR)\. بسته به پارامترهای آزمایش شما، انتخاب نسخهٔ OpenSSL که هم‌پوشانی بیشتری از نظر سایفرها و پروتکل‌ها با هدف دارد ممکن است سریع‌تر باشد\. همچنین، هنگام بررسی یک سرور مدرن، OpenSSL 3\.X نسبت به نسخه‌های قدیمی‌تر OpenSSL، یا در MacOS 18 نسبت به نسخهٔ ارائه شدهٔ LibreSSL، سریع‌تر است\. .SS "گزینه‌های بهینه‌سازی (TUNING OPTIONS)" \fB\-\-bugs\fR برخی از راهکارهای جایگزین را برای سرورهای دارای ایراد اعمال می‌کند، مانند لایه‌گذاری (padding) برای دستگاه‌های قدیمی F5\. این گزینه در صورت نیاز به عنوان \fB\-bug\fR به openssl پاس داده می‌شود؛ به \fBs_client(1)\fR مراجعه کنید (تنظیم متغیر محیطی از طریق \fBBUGS="\-bugs"\fR با یک خط تیره)\. برای بخش سوکت، testssl\.sh همیشه راهکارهای موقتی برای مقابله با پیاده‌سازی‌های معیوب سرور در نظر دارد\. .P \fB\-\-assuming\-http\fR برنامهٔ testssl\.sh معمولاً ابتدا پروتکل لایهٔ کاربرد را شناسایی می‌کند\. در مواردی که HTTP به طور خودکار قابل شناسایی نیست، ممکن است بخواهید از این گزینه استفاده کنید\. این گزینه testssl\.sh را وادار می‌کند تا آزمایش‌های خاص HTTP (سرایند HTTP) را نادیده نگیرد و یک شبیه‌سازی کلاینت مبتنی بر مرورگر را اجرا کند\. لطفاً توجه داشته باشید که گاهی اوقات شدت خطر به پروتکل کاربردی بستگی دارد؛ به عنوان مثال، گواهی‌های امضاشده با SHA1، عدم تطابق SAN و برخی آسیب‌پذیری‌ها هنگام بررسی وب‌سرور در مقایسه با میل‌سرور با سخت‌گیری و رتبه‌بندی بدتری ارزیابی می‌شوند\. .P \fB\-n, \-\-nodns \fR به testssl\.sh اعلام می‌کند که کدام پرس‌وجوهای DNS باید انجام شوند\. مقدار \fBmin\fR تنها از تفکیک DNS مستقیم (رکوردهای A و AAAA یا رکورد MX) استفاده می‌کند و از بررسی‌های CAA و رکوردهای PTR از آدرس IP به نام دامنه صرف‌نظر می‌کند\. مقدار \fBnone\fR هیچ‌گونه جستجوی DNS انجام نمی‌دهد\. برای حالت دوم، یا باید آدرس IP را به عنوان هدف وارد کنید، یا از \fB\-\-ip\fR استفاده کنید، و یا آدرس IP را در \fB/etc/hosts\fR داشته باشید\. استفاده از این سوئیچ تنها در صورتی مفید است که نتوانید یا مایل نباشید جستجوهای DNS را انجام دهید؛ مورد دوم مثلاً می‌تواند در برخی تست‌های نفوذ صدق کند\. به طور کلی، این گزینه می‌تواند به عنوان مثال به جلوگیری از خطای مهلت زمانی (timeout) در جستجوهای DNS کمک کند\. متغیر \fBNODNS\fR متغیر محیطی مربوط به این گزینه است\. ترکیب \fB\-\-nodns=min\fR همراه با \fB\-\-ip=proxy\fR برای شرایطی که DNS محلی وجود ندارد مفید است، زیرا هنگام تلاش برای تفکیک رکوردهای CAA، TXT و MX با انقضای زمان مواجه نخواهید شد\. .P \fB\-\-sneaky\fR برای بررسی سرایندهای HTTP، ابزار testssl\.sh معمولاً از عامل کاربر (User Agent) سازگار با سرور به صورت \fBTLS tester from ${URL}\fR استفاده می‌کند\. با این گزینه، ردپای شما کمتر آشکار خواهد بود و از یک عامل کاربر Firefox استفاده می‌شود\. توجه داشته باشید که این کار فعالیت‌های شما را مخفی نمی‌کند؛ چنین چیزی اساساً امکان‌پذیر نیست (تنظیم متغیر محیطی از طریق \fBSNEAKY=true\fR)\. .P \fB\-\-user\-agent \fR به testssl\.sh دستور می‌دهد که به جای عامل کاربر استاندارد \fBTLS tester from ${URL}\fR، از عامل کاربر HTTP ارائه‌شده استفاده کند\. .P \fB\-\-ids\-friendly\fR سوئیچی است که می‌تواند به اتمام اسکن کمک کند، اسکنی که در غیر این صورت ممکن است توسط یک سامانه تشخیص نفوذ (IDS) سمت سرور مسدود شود\. این سوئیچ از آزمایش آسیب‌پذیری‌های زیر صرف‌نظر می‌کند: Heartbleed، CCS Injection، Ticketbleed و ROBOT\. تنظیم متغیر محیطی OFFENSIVE برابر با false به همین نتیجه منجر می‌شود\. لطفاً توجه داشته باشید که به عنوان یک جایگزین یا رویکرد کلی، می‌توانید با تغییر متغیرهای USLEEP_SND و/یا USLEEP_REC و شاید MAX_WAITSOCK، فنون گریز را امتحان کنید\. .P \fB\-\-phone\-out\fR بررسی گواهی‌های ابطال‌شده از طریق CRL و OCSP به صورت پیش‌فرض انجام نمی‌شود\. این سوئیچ به testssl\.sh دستور می‌دهد که با URIهای خارجی \- در راستای اجرای جاری \- ارتباط برقرار کند\. با استفاده از این سوئیچ تأیید می‌کنید که این بررسی ممکن است مشکلات حریم خصوصی داشته باشد، ممکن است بارگیری چندین مگابایت (فایل CRL) رخ دهد و ممکن است هنگام برقراری ارتباط با نقطه پایانی، مشکلات اتصال شبکه وجود داشته باشد که testssl\.sh آن‌ها را مدیریت نمی‌کند\. PHONE_OUT متغیر محیطی برای این گزینه است که اگر این رفتار را می‌خواهید باید روی true تنظیم شود\. .P \fB\-\-add\-ca \fR به شما امکان می‌دهد مراجع صدور گواهی (CA) خود را با قالب PEM برای بررسی زنجیرهٔ اعتماد اضافه کنید\. \fBCAfile\fR می‌تواند پوشه‌ای حاوی فایل‌هایی با پسوند \.pem، یک فایل منفرد، یا چندین فایل به صورت فهرستی از CAهای ریشه جدا شده با کاما باشد\. این فایل‌ها به صورت داخلی در زمان اجرا به تمام مخازن CA اضافه می‌شوند\. این گزینه (تنها) برای میزبان‌های داخلی مفید است که گواهی‌های آن‌ها توسط CAهای داخلی صادر شده است\. متغیر محیطی جایگزین برای این کار ADDTL_CA_FILES است\. .SS "گزینه‌های بررسی تکی (SINGLE CHECK OPTIONS)" ارائهٔ هر سوئیچ بررسی تکی به عنوان آرگومان مانع از اجرای پیش‌فرض testssl\.sh می‌شود\. در این حالت تنها این گزینه و سایر گزینه‌های ارائه شده به همان ترتیبی که در اجرای پیش‌فرض ظاهر می‌شدند اجرا می‌شوند\. .P \fB\-e, \-\-each\-cipher\fR تک‌تک ۳۷۰ سایفر (که اکنون پیکربندی شده‌اند) را از راه دور روی سرور از طریق openssl + سوکت‌ها بررسی می‌کند و نتیجه را در حالت عریض (wide) گزارش می‌دهد\. اگر می‌خواهید هر سایفرِ آزمایش‌شده نمایش داده شود، باید \fB\-\-show\-each\fR را اضافه کنید\. به صورت پیش‌فرض پارامترهای زیر را فهرست می‌کند: \fBhexcode\fR، \fBOpenSSL cipher suite name\fR، \fBkey exchange\fR، \fBencryption bits\fR، \fBIANA/RFC cipher suite name\fR\. لطفاً توجه داشته باشید که پارامتر \fB\-\-mapping\fR نام مجموعه‌های سایفر نمایش‌داده‌شده در اینجا و جایگاه آن‌ها را تغییر می‌دهد\. همچنین توجه داشته باشید که طول \fBbit\fR برای رمزنگاری نمایش داده می‌شود و نه طول \fBsecurity\fR (سطح امنیت)، اگرچه مرتب‌سازی بر اساس دومی انجام خواهد شد\. برای 3DES به دلیل مشکل ملاقات در میانه (Meet\-in\-the\-Middle)، اندازهٔ ۱۶۸ بیتی معادل اندازهٔ امنیت ۱۱۲ بیتی است\. .P \fB\-E, \-\-cipher\-per\-proto\fR شبیه به \fB\-e, \-\-each\-cipher\fR است\. این گزینه هر یک از سایفرهای ممکن را بررسی می‌کند، در اینجا: به ازای هر پروتکل\. اگر می‌خواهید هر سایفر بررسی‌شده نمایش داده شود، باید \fB\-\-show\-each\fR را اضافه کنید\. خروجی بر اساس قدرت امنیت مرتب می‌شود، اگرچه بیت‌های رمزنگاری را فهرست می‌کند\. .P \fB\-s, \-\-std, \-\-categories\fR فهرست‌های خاصی از مجموعه‌های سایفر / دسته‌های سایفر را بر اساس قدرت بررسی می‌کند\. (\fB\-\-standard\fR منسوخ شده است\.) این فهرست‌ها عبارتند از (\fBopenssl ciphers $LIST\fR که $LIST از موارد زیر است): .IP "\[ci]" 4 \fBسایفرهای بدون رمزنگاری (NULL)\fR: 'NULL:eNULL' .IP "\[ci]" 4 \fBسایفرهای ناشناس NULL\fR: 'aNULL:ADH' .IP "\[ci]" 4 \fBسایفرهای صادراتی (Export)\fR (بدون موارد قبلی): 'EXPORT:!ADH:!NULL' .IP "\[ci]" 4 \fBLOW\fR (سایفرهای ۶۴ بیتی + DES، بدون سایفرهای EXPORT): 'LOW:DES:RC2:RC4:MD5:!ADH:!EXP:!NULL:!eNULL:!AECDH' .IP "\[ci]" 4 \fBسایفرهای 3DES + IDEA\fR: '3DES:IDEA:!aNULL:!ADH:!MD5' .IP "\[ci]" 4 \fBسایفرهای منسوخ CBC\fR: 'HIGH:MEDIUM:AES:CAMELLIA:ARIA:!IDEA:!CHACHA20:!3DES:!RC2:!RC4:!AESCCM8:!AESCCM:!AESGCM:!ARIAGCM:!aNULL:!MD5' .IP "\[ci]" 4 \fBسایفرهای قوی بدون رازداری پیشرو (FS)\fR (رمزنگاری AEAD): 'AESGCM:CHACHA20:CamelliaGCM:AESCCM:ARIAGCM:!kEECDH:!kEDH:!kDHE:!kDHEPSK:!kECDHEPSK:!aNULL' .IP "\[ci]" 4 \fBسایفرهای قوی با رازداری پیشرو (FS)\fR (رمزنگاری AEAD): 'AESGCM:CHACHA20:CamelliaGCM:AESCCM:ARIAGCM:!kPSK:!kRSAPSK:!kRSA:!kDH:!kECDH:!aNULL' .IP "" 0 .P \fB\-f, \-\-fs, \-\-nsa, \-\-forward\-secrecy\fR تبادل کلید با رازداری پیشرو (Forward Secrecy) قدرتمند را بررسی می‌کند\. منظور از «قدرتمند» این است که سایفرهایی که دارای نقاط ضعف ذاتی شدیدی مانند احراز هویت یا رمزنگاری پوچ (Null)، 3DES و RC4 هستند، در اینجا در نظر گرفته نمی‌شوند\. نباید این تصور نادرست ایجاد شود که یک تبادل کلید امن صورت گرفته و همه چیز مناسب است، در حالی که در واقعیت رمزنگاری به شدت ضعیف است\. همچنین این بخش منحنی‌های بیضوی و گروه‌های دیفی-هلمن (Diffie Hellman) موجود و همچنین گروه‌های FFDHE (در TLS 1\.2 و TLS 1\.3) را فهرست می‌کند\. .P \fB\-p, \-\-protocols\fR پروتکل‌های TLS/SSL شامل SSLv2، SSLv3 و TLS 1\.0 تا TLS 1\.3 و برای HTTP پروتکل‌های SPDY (NPN) و ALPN (یا همان HTTP/2) را بررسی می‌کند\. برای TLS 1\.3 چندین پیش‌نویس (از ۱۸ به بعد) و نسخهٔ نهایی پشتیبانی و بررسی می‌شوند\. توجه داشته باشید که نسخهٔ openssl\-bad ارائه‌شده از TLS 1\.3 پشتیبانی نمی‌کند\. از آنجا که بررسی TLS 1\.3 در سوکت‌ها انجام خواهد شد، این مورد معمولاً مشکلی ایجاد نمی‌کند\. با این حال، اگر میزبانی مشاهده شود که فقط از TLS 1\.3 پشتیبانی می‌کند، برای داشتن پوشش آزمایشی کامل (مثلاً بررسی سرایندها)، وجود و پشتیبانی از TLS 1\.3 در مسیر \fB/usr/bin/openssl\fR (یا محتوای \fBOPENSSL2\fR) بررسی می‌شود و در صورت موفقیت‌آمیز بودن، به این باینری سوئیچ خواهد شد\. یک پیام این موضوع را به اطلاع شما خواهد رساند\. .P \fB\-P, \-\-server\-preference, \-\-preference\fR اولویت‌های سرور را نمایش می‌دهد: ترتیب سایفرها، و با کلاینت openssl استفاده‌شده: پروتکل و سایفر توافق‌شده\. اگر ترتیب سایفری از طرف سرور تحمیل شده باشد، آن را برای هر پروتکل (openssl+سوکت‌ها) نمایش می‌دهد\. اگر چنین ترتیبی وجود نداشته باشد، به جای آن نشان می‌دهد که کدام سایفرها از سرور با هر پروتکل انتخاب شده‌اند\. .P \fB\-S, \-\-server_defaults\fR اطلاعات دریافتی از پیام(های) Server Hello را نمایش می‌دهد: .IP "\[ci]" 4 افزونه‌های TLS موجود، .IP "\[ci]" 4 اطلاعات/قابلیت‌های TLS ticket و شناسهٔ نشست (session ID)، .IP "\[ci]" 4 قابلیت‌های ازسرگیری نشست (session resumption)، .IP "\[ci]" 4 انحراف زمانی (Time skew) نسبت به localhost (بیشتر پیاده‌سازی‌های سرور مقادیر تصادفی برمی‌گردانند)\. .IP "\[ci]" 4 اطلاعات متعدد گواهی .IP "\[ci]" 4 الگوریتم امضا، .IP "\[ci]" 4 اندازهٔ کلید، .IP "\[ci]" 4 کاربرد کلید و کاربرد کلید گسترش‌یافته (key usage and extended key usage)، .IP "\[ci]" 4 اثرانگشت‌ها و شماره سریال .IP "\[ci]" 4 نام معمول (CN)، نام جایگزین موضوع (SAN)، صادرکننده، .IP "\[ci]" 4 اعتماد از طریق نام میزبان + زنجیرهٔ اعتماد در برابر گواهی‌های ارائه‌شده .IP "\[ci]" 4 شناسایی گواهی اعتبار‌سنجی گسترده (EV) .IP "\[ci]" 4 شناسایی آزمایشی «eTLS» .IP "\[ci]" 4 اعتبار: زمان شروع + پایان، چند روز باقی‌مانده (هشدار برای طول عمر گواهی بیشتر از یا مساوی ۵ سال) .IP "\[ci]" 4 اطلاعات ابطال (CRL، OCSP، OCSP stapling و must staple)\. در صورت ارائهٔ \fB\-\-phone\-out\fR، نزد مرجع صدور گواهی بررسی می‌کند که آیا گواهی میزبان ابطال شده است یا خیر (OCSP و CRL ساده)\. .IP "\[ci]" 4 نمایش رکورد منبع مجوز مرجع صدور گواهی در DNS (رکورد CAA) .IP "\[ci]" 4 اطلاعات شفافیت گواهی (Certificate Transparency) (در صورت ارائه توسط سرور)\. .IP "" 0 .IP "" 0 .P برای بررسی زنجیرهٔ اعتماد، ۵ مخزن گواهی ارائه شده است\. اگر آزمایش در برابر یکی از مخازن اعتماد ناموفق باشد، آن مخزن شناسایی شده و دلیل شکست نمایش داده می‌شود؛ علاوه بر این، مخازنی که موفق شده‌اند نیز نمایش داده می‌شوند\. شما می‌توانید مرجع صدور گواهی (CA) خود را از طریق ADDTL_CA_FILES پیکربندی کنید؛ به بخش \fBفایل‌ها (FILES)\fR در ادامه مراجعه نمایید\. اگر سرور هیچ رکورد منطبقی در نام جایگزین موضوع (SAN) ارائه ندهد اما در نام معمول (CN) ارائه دهد، این موضوع مشخص خواهد شد زیرا این حالت منسوخ شده است\. همچنین چندین گواهی سرور و همچنین پاسخ گواهی به یک Server Hello بدون SNI (نشانگر نام سرور) از سوی کلاینت به آدرس IP بررسی می‌شود\. دربارهٔ انحراف ساعت TLS: این پارامتر اختلاف زمانی را نسبت به کلاینت نشان می‌دهد\. امروزه تنها چند پشتهٔ TLS هنوز از این ویژگی پشتیبانی می‌کنند و ساعت محلی \fBgmt_unix_time\fR را برمی‌گردانند، مانند IIS و نسخه‌های openssl < 1\.0\.1f\. علاوه بر تاریخ HTTP، اگر اختلاف زمانی به میزان قابل توجهی تفاوت داشته باشد، می‌توانید نتیجه بگیرید که به عنوان مثال درخواست TLS و درخواست HTTP شما به میزبان‌های متفاوتی ختم شده‌اند\. .P \fB\-x , \-\-single\-cipher \fR سایفرهای منطبق با \fBpattern\fR را در برابر یک سرور آزمایش می‌کند\. الگوها شبیه به \fB\-V pattern , \-\-local pattern\fR هستند؛ دربارهٔ نحوهٔ تطابق به بالا مراجعه کنید\. .P \fB\-h, \-\-header, \-\-headers\fR در صورتی که سرویس از نوع HTTP باشد (چه با شناسایی و چه با اجبار از طریق \fB\-\-assume\-http\fR)، چندین سرایند HTTP را بررسی می‌کند، مانند: .IP "\[ci]" 4 امنیت انتقال سخت‌گیرانهٔ پروتکل اچ‌تی‌تی‌پی (HSTS) .IP "\[ci]" 4 پین‌کردن کلید عمومی HTTP (HPKP) .IP "\[ci]" 4 بنر سرور .IP "\[ci]" 4 تاریخ و ساعت HTTP .IP "\[ci]" 4 بنر سرور مانند سرایندهای توزیع‌های لینوکس یا دیگر ارائه‌دهندگان یونیکس.IP "\[ci]" 4 بنر برنامه (PHP، RoR، OWA، SharePoint، Wordpress و غیره) .IP "\[ci]" 4 سرآیندهای Reverse proxy .IP "\[ci]" 4 ماژول‌های وب‌سرور .IP "\[ci]" 4 آدرس IPv4 در سرآیند .IP "\[ci]" 4 کوکی (شامل پرچم‌های Secure/HTTPOnly) .IP "\[ci]" 4 رمزگشایی کوکی‌های رمزگذاری‌نشدهٔ BIG IP F5 .IP "\[ci]" 4 سرآیندهای امنیتی (X\-Frame\-Options، X\-XSS\-Protection، Expect\-CT،\|\.\|\.\|\.، سرآیندهای CSP)\. موارد نامعتبر یا بی‌معنی هنوز در اینجا شناسایی نمی‌شوند\. .IP "" 0 .P \fB\-c, \-\-client\-simulation\fR این گزینه دست‌تکانی را با تعدادی کلاینت استاندارد شبیه‌سازی می‌کند تا بتوانید بفهمید چه کلاینت‌هایی می‌توانند یا نمی‌توانند به وب‌سایت شما متصل شوند\. برای حالت دوم، پروتکل، رمز و منحنی نمایش داده می‌شود، و همچنین وجود داشتن یا نداشتن Forward Secrecy\. ابزار testssl\.sh از مجموعه‌ای دست‌چین‌شده از کلاینت‌ها که توسط API ابزار SSLlabs دریافت شده‌اند استفاده می‌کند\. هنگام ترکیب با گزینهٔ \fB\-\-wide\fR، خروجی در ستون‌ها تراز می‌شود\. اگر می‌خواهید تمام کلاینت‌های موجود بدون کم‌وکاست نمایش داده شوند، از متغیر محیطی ALL_CLIENTS استفاده کنید\. .P \fB\-g, \-\-grease\fR چندین باگ پیاده‌سازی سرور مانند تحمل محدودیت‌های اندازه و GREASE را بررسی می‌کند، به RFC 8701 مراجعه کنید\. این بررسی به‌صورت پیش‌فرض اجرا نمی‌شود\. .SS "آسیب‌پذیری‌ها (VULNERABILITIES)" \fB\-U, \-\-vulnerable, \-\-vulnerabilities\fR تنها تمام آسیب‌پذیری‌ها (موارد زیر) را آزمایش می‌کند\. متغیر محیطی \fBVULN_THRESHLD\fR تعیین می‌کند که پس از چه مقداری یک عنوان جداگانه برای هر آسیب‌پذیری نمایش داده شود\. مقدار پیش‌فرض \fB1\fR است، به این معنی که اگر دو آسیب‌پذیری را بررسی کنید، علاوه بر نام آسیب‌پذیری و نتیجه، تنها عنوان عمومی بخش آسیب‌پذیری‌ها نمایش داده می‌شود\. در غیر این صورت، علاوه بر نمایش نام آسیب‌پذیری و نتیجهٔ آزمایش، هر آسیب‌پذیری یا بخش آسیب‌پذیری عنوان اختصاصی خود را دریافت می‌کند\. یک بخش آسیب‌پذیری از بیش از یک بررسی تشکیل شده است، به عنوان مثال بررسی آسیب‌پذیری renegotiation دارای دو بررسی است، و Logjam نیز همین‌طور\. .P \fB\-H, \-\-heartbleed\fR وجود Heartbleed را که یک نشت حافظه در openssl است بررسی می‌کند\. به جز در مواردی که سمت سرور از افزونهٔ heartbeat پشتیبانی نکند، احتمال زیادی دارد که این بررسی با پایان مهلت زمانی مواجه شود\. ثانیه‌های انتظار برای پاسخ را می‌توان با \fBHEARTBLEED_MAX_WAITSOCK\fR تنظیم کرد\. مقدار پیش‌فرض 8 است\. .P \fB\-I, \-\-ccs, \-\-ccs\-injection\fR وجود CCS Injection را که یک آسیب‌پذیری openssl است بررسی می‌کند\. گاهی در اینجا نیز بررسی نیاز دارد منتظر دریافت پاسخ بماند\. مهلت زمانی پیش‌فرض 5 ثانیه را می‌توان با متغیر محیطی \fBCCS_MAX_WAITSOCK\fR تغییر داد\. .P \fB\-T, \-\-ticketbleed\fR نشت حافظهٔ Ticketbleed را در بارگذارنده‌های توازن بار BigIP بررسی می‌کند\. .P \fB\-\-BB, \-\-robot\fR آسیب‌پذیری در برابر حملهٔ ROBOT / (\fIReturn Of Bleichenbacher's Oracle Threat\fR) را بررسی می‌کند\. مهلت زمانی پیش‌فرض 10 ثانیه را می‌توان با متغیر محیطی \fBROBOT_TIMEOUT\fR تغییر داد\. .P \fB\-\-SI, \-\-starttls\-injection\fR آسیب‌پذیری‌های تزریق STARTTLS را بررسی می‌کند (تنها SMTP، IMAP، POP3)\. به \fBsocat\fR و OpenSSL >=1\.1\.0 نیاز است\. .P \fB\-R, \-\-renegotiation\fR آسیب‌پذیری‌های renegotiation (مذاکرهٔ مجدد) را آزمایش می‌کند\. در حال حاضر بررسی‌هایی برای \fISecure Renegotiation\fR و \fISecure Client\-Initiated Renegotiation\fR وجود دارد\. لطفاً توجه داشته باشید که سرورهای آسیب‌پذیر در برابر مورد دوم به احتمال زیاد بسیار آسان مورد حملهٔ DoS قرار می‌گیرند (HTTP)\. بررسی برای \fIInsecure Client\-Initiated Renegotiation\fR هنوز پیاده‌سازی نشده است\. .P \fB\-C, \-\-compression, \-\-crime\fR آسیب‌پذیری CRIME (\fICompression Ratio Info\-leak Made Easy\fR) را در TLS بررسی می‌کند\. CRIME در SPDY هنوز بررسی نمی‌شود\. .P \fB\-B, \-\-breach\fR آسیب‌پذیری BREACH (\fIBrowser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext\fR) را بررسی می‌کند\. از آنجا که فشرده‌سازی در لایهٔ HTTP پیش‌نیاز این آسیب‌پذیری است، در صورتی که HTTP شناسایی نشود یا تشخیص آن با \fB\-\-assume\-http\fR اجبار نشده باشد، آزمایش نخواهد شد\. لطفاً توجه داشته باشید که تنها نشانی URL ارائه‌شده (معمولاً "/" ) آزمایش می‌شود\. .P \fB\-O, \-\-poodle\fR آسیب‌پذیری SSL POODLE (\fIPadding Oracle On Downgraded Legacy Encryption\fR) را آزمایش می‌کند\. این گزینه اساساً وجود رمزهای CBC را در SSLv3 بررسی می‌کند\. .P \fB\-Z, \-\-tls\-fallback\fR راهکار کاهشی TLS_FALLBACK_SCSV را بررسی می‌کند\. TLS_FALLBACK_SCSV در واقع یک مجموعهٔ رمز است که به Client Hello افزوده می‌شود تا از حملات تنزل پروتکل توسط Man in the Middle جلوگیری کند\. .P \fB\-W, \-\-sweet32\fR آسیب‌پذیری در برابر SWEET32 را با آزمایش رمزهای بلوکی ۶۴ بیتی (3DES، RC2 و IDEA) بررسی می‌کند\. .P \fB\-F, \-\-freak\fR آسیب‌پذیری FREAK (\fIFactoring RSA Export Keys\fR) را با آزمایش رمزهای EXPORT RSA بررسی می‌کند\. .P \fB\-D, \-\-drown\fR آسیب‌پذیری DROWN (\fIDecrypting RSA with Obsolete and Weakened eNcryption\fR) را با بررسی در دسترس بودن پروتکل SSL 2 در هدف بررسی می‌کند\. لطفاً توجه داشته باشید که اگر از همان گواهی RSA در جای دیگری استفاده کنید، ممکن است در آنجا نیز آسیب‌پذیر باشید\. ابزار testssl\.sh این مورد را بررسی نمی‌کند، اما پیوند مفیدی در censys\.io ارائه می‌دهد که این سرویس را فراهم می‌کند\. .P \fB\-J, \-\-logjam\fR آسیب‌پذیری LOGJAM را با بررسی رمزهای DH EXPORT بررسی می‌کند\. همچنین «اعداد اول مشترک» را که کلیدهای DH از پیش پیکربندی‌شده هستند بررسی می‌کند\. کلیدهای DH کوچکترا مساوی ۱۰۲۴ بیت جریمه خواهند شد\. همچنین گروه‌های FFDHE (در TLS 1\.2) در اینجا نمایش داده خواهند شد\. .P \fB\-A, \-\-beast\fR آسیب‌پذیری‌های BEAST در SSL 3 و TLS 1\.0 را با آزمایش استفاده از رمزهای CBC بررسی می‌کند\. .P \fB\-L, \-\-lucky13\fR آسیب‌پذیری LUCKY13 را بررسی می‌کند\. این گزینه وجود رمزهای CBC را در نسخه‌های TLS بین 1\.0 تا 1\.2 بررسی می‌کند\. .P \fB\-WS, \-\-winshock\fR آسیب‌پذیری Winshock را بررسی می‌کند\. این گزینه نبودِ تعداد زیادی از رمزها، برخی افزونه‌های TLS و منحنی‌های ec را که بعداً در Windows معرفی شدند بررسی می‌کند\. در پایان، بنر سرور نیز بررسی می‌شود\. .P \fB\-4, \-\-rc4, \-\-appelbaum\fR بررسی می‌کند که کدام رمزهای جریانی RC4 ارائه می‌شوند\. .SS "گزینه‌های خروجی (OUTPUT OPTIONS)" \fB\-q, \-\-quiet\fR به طور معمول testssl\.sh بنری را روی stdout با اطلاعات نسخه، حقوق استفاده و یک هشدار نمایش می‌دهد\. این گزینه آن را پنهان می‌کند\. لطفاً توجه داشته باشید که با انتخاب این گزینه، شرایط استفاده و هشداری را که معمولاً در بنر ظاهر می‌شود، می‌پذیرید\. .P \fB\-\-wide\fR به جز «خروجی هر رمز»، تمام آزمایش‌ها نام یک رمز تکی را نمایش می‌دهند (طرح آن را در زیر ببینید)\. این گزینه به testssl\.sh امکان می‌دهد که برای بخش‌های زیر نیز همان خروجی آزمایش هر رمز را نمایش دهد: BEAST، FS، RC4\. شبیه‌سازی کلاینت نیز یک حالت عریض دارد\. تفاوت در اینجا به خروجی تراز‌شده در ستون‌ها و یک سربرگ مناسب محدود می‌شود\. می‌توان از متغیر محیطی \fBWIDE\fR به عنوان جایگزین استفاده کرد\. .P \fB\-\-mapping \fR .IP "\[ci]" 4 \fBopenssl\fR: استفاده از نام مجموعهٔ رمز OpenSSL به عنوان ساختار نام اصلی مجموعهٔ رمز (پیش‌فرض)، .IP "\[ci]" 4 \fBiana\fR: استفاده از نام مجموعهٔ رمز IANA به عنوان ساختار نام اصلی مجموعهٔ رمز\. .IP "\[ci]" 4 \fBno\-openssl\fR: نام مجموعهٔ رمز OpenSSL نمایش داده نشود، تنها نام‌های IANA نمایش داده شوند\. .IP "\[ci]" 4 \fBno\-iana\fR: نام مجموعهٔ رمز IANA نمایش داده نشود، تنها نام‌های OpenSSL نمایش داده شوند\. .IP "" 0 .P لطفاً توجه داشته باشید که در نسخهٔ 3\.0 ابزار testssl\.sh هنوز می‌توانید از \fBrfc\fR به جای \fBiana\fR و از \fBno\-rfc\fR به جای \fBno\-iana\fR استفاده کنید، اما پس از نسخهٔ 3\.0 این موارد حذف خواهند شد\. .P \fB\-\-show\-each\fR این گزینه تنها برای تمام حالت‌های wide است: تمام رمزهای آزمایش‌شده را نمایش می‌دهد \-\- نه فقط آن‌هایی که با موفقیت انجام شده‌اند\. اگر ترجیح می‌دهید این مورد را از طریق محیط شل تنظیم کنید، \fBSHOW_EACH_C\fR به کار شما می‌آید\. .P \fB\-\-color <0|1|2|3>\fR استفاده از رنگ‌ها بر روی صفحه و در فایل ثبت گزارش را تعیین می‌کند: مقدار \fB2\fR پیش‌فرض است و از کدهای گریز ANSI و termcap در پایانهٔ شما استفاده می‌کند\. مقدار \fB1\fR تنها از نشانه‌گذاری‌های بدون رنگ مانند ضخیم، کج، زیرخط‌دار و معکوس استفاده می‌کند\. مقدار \fB0\fR به معنی عدم وجود هیچ نشانه‌گذاری = بدون کدهای گریز است\. همچنین این همان چیزی است که وقتی فایلی بدون کدهای گریز می‌خواهید نیاز دارید\. مقدار \fB3\fR رمزها و EC را بر اساس یک رتبه‌بندی درونی (که هنوز بی‌نقص نیست) رنگ‌آمیزی می‌کند\. تنظیم متغیر محیطی \fBCOLOR\fR روی این مقدار نتیجهٔ مشابهی دارد\. لطفاً توجه داشته باشید که OpenBSD و نسخه‌های اولیهٔ FreeBSD از حالت کج پشتیبانی نمی‌کنند\. .P \fB\-\-colorblind\fR رنگ‌های سبز و آبی را در خروجی جابه‌جا می‌کند، تا این درصد از افراد (تا ۸٪ از مردان، به مراجعه کنید) بتوانند این یافته‌ها را بهتر تشخیص دهند\. اگر می‌خواهید این مورد را در محیط تنظیم کنید، \fBCOLORBLIND\fR متغیر مربوطه است\. .P \fB\-\-debug <0\-6>\fR این گزینه خروجی‌های اضافی روی صفحه (2\-6) در اختیارتان می‌گذارد که فقط برای اشکال‌زدایی مفید هستند\. \fBDEBUG\fR متغیر محیطی مربوطه است که می‌توانید استفاده کنید\. شش سطح وجود دارد (0 پیش‌فرض است، بنابراین اثری ندارد): .IP "1." 4 خروجی صفحه عادی است اما خروجی‌های مفید اشکال‌زدایی را در \fB/tmp/testssl\.XXXXXX/\fR باقی می‌گذارد\. اطلاعات دایرکتوری دقیق در پایان اجرا در خروجی صفحه گنجانده می‌شود\. .IP "2." 4 جزئیات بیشتری از رویدادها، وضعیت (سطح بالا) و خطاهای اتصال و تعداد اندکی خروجی عمومی اشکال‌زدایی را فهرست می‌کند .IP "3." 4 حتی اطلاعات کمی بیشتر: hexdumps + اطلاعات دیگر .IP "4." 4 نمایش بایت‌های ارسال‌شده از طریق سوکت‌ها .IP "5." 4 نمایش بایت‌های دریافت‌شده از طریق سوکت‌ها .IP "6." 4 تمامی جزئیات بدون کم‌وکاست .IP "" 0 .P \fB\-\-disable\-rating\fR رتبه‌بندی را غیرفعال می‌کند\. رتبه‌بندی زمانی که تمام توابع مورد نیاز اجرا نشوند (مثلاً هنگام بررسی یک تک آسیب‌پذیری)، به طور خودکار غیرفعال می‌شود تا امتیاز نادرست یا گمراه‌کننده‌ای ارائه نشود\. .SS "گزینه‌های خروجی فایل (FILE OUTPUT OPTIONS)" \fB\-\-log, \-\-logging\fR خروجی استاندارد را در \fB${NODE}\-p${port}${YYYYMMDD\-HHMM}\.log\fR در دایرکتوری کاری فعلی شل نیز ذخیره می‌کند\. بسته به گزینهٔ خروجی رنگی (به بالا مراجعه کنید)، فایل خروجی حاوی کدهای گریز رنگی و سایر نشانه‌گذاری‌ها خواهد بود، مگر اینکه \fB\-\-color 0\fR را نیز تعیین کنید\. دستورهای \fBcat\fR و \-\- در صورت پیکربندی مناسب \fBless\fR \-\- خروجی را با قالب‌بندی مناسب در پایانهٔ شما نشان خواهند داد\. خروجی بنری را تقریباً با همان اطلاعات روی صفحه نمایش می‌دهد\. علاوه بر این، خط فرمان نمونهٔ testssl\.sh را نمایش می‌دهد\. لطفاً توجه داشته باشید که فایل ثبت گزارشِ حاصل، بر اساس عرض صفحهٔ نمایش شما هنگام اجرای testssl\.sh قالب‌بندی می‌شود\. می‌توانید عرض صفحه را با متغیر محیطی TERM_WIDTH بازنویسی کنید\. .P \fB\-\-logfile \fR یا \fB\-oL \fR در صورتی که بخواهید گزارش‌ها را در یک دایرکتوری ذخیره کنید یا اگر ترجیح می‌دهید نام فایل گزارش را خودتان تعیین کنید، می‌توانید به جای گزینهٔ قبلی از این گزینه استفاده کنید\. اگر \fBlogfile\fR یک دایرکتوری باشد، خروجی در \fBlogfile/${NODE}\-p${port}${YYYYMMDD\-HHMM}\.log\fR قرار خواهد گرفت\. اگر \fBlogfile\fR یک فایل باشد، از نام همان فایل استفاده خواهد شد؛ مسیر مطلق نیز در اینجا مجاز است\. اگر ترجیح می‌دهید با متغیرهای محیطی کار کنید، LOGFILE متغیری است که باید تنظیم کنید\. لطفاً توجه داشته باشید که فایل ثبت گزارش حاصل، بر اساس عرض صفحهٔ نمایش شما هنگام اجرای testssl\.sh قالب‌بندی می‌شود\. می‌توانید عرض را با متغیر محیطی TERM_WIDTH بازنویسی کنید\. .P \fB\-\-json\fR علاوه بر این، در یک فایل JSON به نام \fB${NODE}\-p${port}${YYYYMMDD\-HHMM}\.json\fR در دایرکتوری کاری فعلی شل ثبت می‌کند\. فایل JSON حاصل بر خلاف \fB\-\-json\-pretty\fR هموار است \-\- به این معنی که هر بخش خودکفا است و شناسه‌ای برای هر بررسی منفرد، نام میزبان/آدرس IP، درگاه، شدت و یافته دارد\. برای آسیب‌پذیری‌ها ممکن است شامل مدخل‌های CVE و CWE نیز باشد\. خروجی حاوی بنر یا پاورقی نیست\. .P \fB\-\-jsonfile \fR یا \fB\-oj \fR به جای گزینهٔ پیشین، در صورتی که بخواهید خروجی JSON را در یک دایرکتوری ذخیره کنید یا اگر ترجیح می‌دهید نام فایل گزارش را خودتان تعیین کنید، می‌توانید از این گزینه استفاده کنید\. اگر \fBjsonfile\fR یک دایرکتوری باشد، خروجی در \fBlogfile/${NODE}\-p${port}${YYYYMMDD\-HHMM}\.json\fR قرار خواهد گرفت\. اگر \fBjsonfile\fR یک فایل باشد، از نام همان فایل استفاده خواهد شد؛ استفاده از مسیر مطلق نیز در اینجا مجاز است\. .P \fB\-\-json\-pretty\fR علاوه بر این، در یک فایل JSON به نام \fB${NODE}\-p${port}${YYYYMMDD\-HHMM}\.json\fR در دایرکتوری کاری فعلی شل ثبت می‌کند\. فایل JSON حاصل بر خلاف \fB\-\-json\fR غیرهموار است \-\- به این معنی که ساختاریافته است\. این ساختار شامل سرآیندی مشابه بنر روی صفحه است، از جمله خط فرمان، میزبان پویش‌شده، باینری openssl مورداستفاده، نسخهٔ testssl و زمان مبدأ آغاز به کار\. سپس برای هر بخش آزمایش testssl\.sh، یک شیء/بخش JSON جداگانه دارد\. هر یافته دارای یک شناسهٔ جفت کلید/مقدار به همراه شناسه برای هر بررسی منفرد، شدت و یافته است\. برای آسیب‌پذیری‌ها ممکن است حاوی مدخل‌های CVE و CWE نیز باشد\. پاورقی زمان پویش را بر حسب ثانیه فهرست می‌کند\. .P \fB\-\-jsonfile\-pretty \fR یا \fB\-oJ \fR مشابه گزینه‌های پیش‌تر ذکرشدهٔ \fB\-\-jsonfile\fR یا \fB\-\-logfile\fR، خروجی را در قالب JSON خوانا و آراسته (به \fB\-\-json\-pretty\fR مراجعه کنید) در یک فایل یا یک دایرکتوری ثبت می‌کند\. برای توضیحات بیشتر به \fB\-\-jsonfile\fR یا \fB\-\-logfile\fR مراجعه کنید\. .P \fB\-\-csv\fR علاوه بر این، در یک فایل CSV به نام \fB${NODE}\-p${port}${YYYYMMDD\-HHMM}\.csv\fR در دایرکتوری کاری فعلی شل ثبت می‌کند\. خروجی شامل سرآیندی با کلیدها است؛ مقادیر مشابه مقادیر موجود در قالب JSON هموار هستند (شناسه برای هر بررسی منفرد، نام میزبان/آدرس IP، درگاه، شدت، یافته، و برای آسیب‌پذیری‌ها شمارهٔ CVE و CWE)\. .P \fB\-\-csvfile \fR یا \fB\-oC \fR مشابه گزینه‌های پیش‌تر ذکرشدهٔ \fB\-\-jsonfile\fR یا \fB\-\-logfile\fR، خروجی را در قالب CSV (به \fB\-\-cvs\fR مراجعه کنید) علاوه بر این در یک فایل یا دایرکتوری ثبت می‌کند\. برای توضیحات بیشتر به \fB\-\-jsonfile\fR یا \fB\-\-logfile\fR مراجعه کنید\. .P \fB\-\-html\fR علاوه بر این، در یک فایل HTML به نام \fB${NODE}\-p${port}${YYYYMMDD\-HHMM}\.html\fR در دایرکتوری کاری فعلی شل ثبت می‌کند\. این فایل شامل خروجی ۱:۱ کنسول است\. در نسخه‌های قبلی گزینه‌ای غیربومی برای استفاده از «aha» (Ansi HTML Adapter: github\.com/theZiz/aha) وجود داشت مانند \fBtestssl\.sh [options] | aha >output\.html\fR\. این کار دیگر ضروری نیست\. .P \fB\-\-htmlfile \fR یا \fB\-oH \fR مشابه گزینه‌های پیش‌تر ذکرشدهٔ \fB\-\-jsonfile\fR یا \fB\-\-logfile\fR، خروجی را در قالب HTML (به \fB\-\-html\fR مراجعه کنید) علاوه بر این در یک فایل یا دایرکتوری ثبت می‌کند\. برای توضیحات بیشتر به \fB\-\-jsonfile\fR یا \fB\-\-logfile\fR مراجعه کنید\. .P \fB\-oA \fR / \fB\-\-outFile \fR مشابه nmap، خروجی فایلی را در تمام قالب‌های فایلی در دسترس تولید می‌کند: LOG، JSON pretty، CSV، HTML\. اگر نام فایل ارائه‌شده برابر با \fBauto\fR باشد، نام فایل به طور خودکار با استفاده از '${NODE}\-p${port}${YYYYMMDD\-HHMM}\.${EXT}' به همراه پسوند مربوطه تولید می‌شود\. اگر یک دایرکتوری ارائه شود، تمام فایل‌های خروجی در \fB/${NODE}\-p${port}${YYYYMMDD\-HHMM}\.{log,json,csv,html}\fR قرار داده خواهند شد\. .P \fB\-oa \fR / \fB\-\-outfile \fR همان کار گزینهٔ قبلی را انجام می‌دهد اما به جای آن از JSON هموار استفاده می‌کند\. .P \fB\-\-hints\fR این گزینه هنوز مورد استفاده قرار نگرفته است\. هدف این گزینه ارائهٔ نکاتی در مورد نحوهٔ رفع یک یافته یا حداقل کمکی برای بهبود آن است\. متغیر محیطی برای این منظور GIVE_HINTS است\. .P \fB\-\-severity \fR برای CSV و هر دو خروجی JSON، این گزینه تنها در صورتی یافته‌ها را به فایل خروجی اضافه می‌کند که سطح شدت برابر یا بالاتر از مقدار \fBseverity\fR مشخص‌شده باشد\. مقادیر مجاز \fB\fR هستند\. مقدار WARN سطح دیگری است که به معنی یک خطا یا مشکل در پویش سمت کلاینت است\. بنابراین در صورت وقوع، همیشه آن‌ها را در فایل خواهید دید\. .P \fB\-\-append\fR به طور معمول، اگر یک فایل خروجی از قبل وجود داشته باشد و اندازهٔ فایل آن بزرگتر از صفر باشد، testssl\.sh از شما می‌خواهد که فایل را به صورت دستی حذف کنید و با یک خطا خارج می‌شود\. با این حال، \fB\-\-append\fR خروجی را بدون سرآیند به انتهای این فایل پیوست می‌کند\. متغیر محیطی APPEND نیز همین کار را انجام می‌دهد\. در استفاده از این سوئیچ/متغیر مراقب باشید\. گزینه‌ای متمم برای بازنویسی مستقیم روی فایل موجود به طور پیش‌فرض طراحی نشده است\. .P \fB\-\-overwrite\fR به طور معمول، اگر یک فایل خروجی از قبل وجود داشته باشد و اندازهٔ فایل آن بزرگتر از صفر باشد، testssl\.sh به شما اجازهٔ بازنویسی روی این فایل را نخواهد داد\. این گزینه این کار را \fBبدون هیچ هشداری\fR انجام می‌دهد\. متغیر محیطی OVERWRITE نیز همین کار را انجام می‌دهد\. مراقب باشید، به شما هشدار داده شد! .P \fB\-\-outprefix \fR پیشوند نام فایل خروجی \fIfname_prefix\fR را قبل از \fB${NODE}\-\fR اضافه می‌کند\. همچنین می‌توانید از متغیر محیطی FNAME_PREFIX استفاده کنید\. با استفاده از این گزینه، زمانی که نام فایلی برای گزینهٔ خروجی مربوطه مشخص نشده باشد، همهٔ فایل‌های خروجی با الگوی \fB\-${NODE}\-p${port}${YYYYMMDD\-HHMM}\.\fR نام‌گذاری خواهند شد\. اگر جداکنندهٔ «\-» را نمی‌پسندید، می‌توانید \fB\fR را به پایان‌یافته با «\.»، «_» یا «,» ارائه دهید\. در این حالت یا اگر خودتان قبلاً «\-» را وارد کرده باشید، هیچ «\-» اضافی دیگری به \fB\fR اضافه نخواهد شد\. .P چندین گزینهٔ خروجی فایل را نیز می‌توان از طریق متغیرهای محیطی از پیش تعیین کرد\..SS "رتبه‌بندی‌های رنگی (COLOR RATINGS)" برنامه testssl\.sh از (هشت) رنگ استاندارد ترمینال استفاده می‌کند\. طرح رنگ‌بندی به شرح زیر است: .IP "\[ci]" 4 قرمز روشن: یک یافته بحرانی (critical) .IP "\[ci]" 4 قرمز: یک یافته با اهمیت بالا (high) .IP "\[ci]" 4 قهوه‌ای: یک یافته با اهمیت متوسط (medium) .IP "\[ci]" 4 زرد: یک یافته با اهمیت پایین (low) .IP "\[ci]" 4 سبز (آبی در صورت تنظیم COLORBLIND): موردی که یا در کل ویژگی خوبی است یا نتیجه منفی بررسی‌ای است که در غیر این صورت به یک یافته با اهمیت بالا منجر می‌شد .IP "\[ci]" 4 سبز روشن (آبی روشن در صورت تنظیم COLORBLIND): موردی که یا در کل ویژگی بسیار خوبی است یا نتیجه منفی بررسی‌ای است که در غیر این صورت به یک یافته بحرانی منجر می‌شد .IP "\[ci]" 4 بدون رنگ در مکان‌هایی که انتظار یک یافته نیز می‌رود: یافته‌ای در سطح اطلاعاتی (info) .IP "\[ci]" 4 فیروزه‌ای: در حال حاضر فقط برای \fB\-\-show\-each\fR یا یک نکته تکمیلی استفاده می‌شود .IP "\[ci]" 4 سرخابی: وضعیت هشدار را نشان می‌دهد؛ برای نمونه عدم وجود قابلیت‌های محلی در سمت کلاینت یا مشکلی دیگر .IP "\[ci]" 4 سرخابی روشن: یک خطای مهلک که یا نیازمند موافقت صریح کاربر برای ادامه است یا وضعیتی که هیچ چاره دیگری جز خروج برای testssl\.sh باقی نمی‌گذارد .IP "" 0 .P آنچه در بالا با عنوان «روشن» (light) نام‌گذاری شده است روی صفحه نمایش بدین شکل دیده می‌شود، اما از نظر فنی «پررنگ» (bold) است\. علاوه بر این، گزینه \fB\-\-color=3\fR سایفرها را بر اساس یک رتبه‌بندی داخلی و تقریبی رنگ‌آمیزی می‌کند\. .P نشانه‌گذاری‌ها (بدون هیچ رنگی) به روش زیر استفاده می‌شوند: .IP "\[ci]" 4 پررنگ (bold): برای نام آزمون .IP "\[ci]" 4 زیرخط‌دار + پررنگ: برای سربرگ هر بخش آزمون .IP "\[ci]" 4 زیرخط‌دار: برای زیرعنوان‌ها .IP "\[ci]" 4 کج (italics): برای رشته‌هایی که صرفاً مقداری خوانده‌شده از سرور را نشان می‌دهند .IP "" 0 .SS "تنظیم دقیق از طریق متغیرهای محیطی و گزینه‌های بیشتر (TUNING via ENV variables and more options)" به جز متغیرهای محیطی ذکرشده در بالا که می‌توانند جایگزین گزینه‌های خط فرمان شوند، در اینجا متغیرهایی آمده‌اند که نمی‌توان آن‌ها را به روش دیگری تنظیم کرد\. متغیرهایی که برای تنظیم دقیق استفاده می‌شوند، با مقادیر معقولی از پیش مقداردهی شده‌اند\. \fIنباید دلیلی برای تغییر آن‌ها وجود داشته باشد\fR مگر اینکه از testssl\.sh تحت شرایط خاصی استفاده کنید\. .IP "\[ci]" 4 متغیر TERM_WIDTH پهنای خودکار تشخیص‌داده‌شده برای ترمینال را لغو و بازنویسی می‌کند\. تنظیم این متغیر معمولاً فقط زمانی منطقی است که خروجی را با استفاده از گزینه \fB\-\-log\fR، \fB\-\-logfile\fR یا \fB\-oL\fR در یک فایل ذخیره می‌کنید\. .IP "\[ci]" 4 DEBUG_ALLINONE / SETX: با تنظیم هر یک از آن‌ها روی true، برنامه testssl\.sh به رفتار استاندارد bash بازمی‌گردد؛ یعنی هنگام اجرای \fBbash \-x testssl\.sh\fR، خروجی اشکال‌زدایی bash را در ترمینال نمایش می‌دهد و نه در یک فایل خارجی \fB/tmp/testssl\-\.log\fR .IP "\[ci]" 4 DEBUGTIME: گزینه پروفایل‌سازی\. هنگام استفاده از حالت اشکال‌زدایی bash و زمانی که این گزینه روی true تنظیم شده باشد، یک فایل متنی جداگانه با زمان‌های epoch در \fB/tmp/testssl\-\.time\fR ایجاد می‌کند\. این فایل‌ها باید با \fBpaste /tmp/testssl\-\.{time,log}\fR ادغام شوند\. [comment]: # * FAST_SOCKET [comment]: # * SHOW_SIGALGO [comment]: # * FAST .IP "\[ci]" 4 گزینه EXPERIMENTAL=true گزینه‌ای است که گاهی در فرآیند توسعه برای آسان‌تر کردن آزمون استفاده می‌شود\. در نسخه‌های منتشرشده این گزینه هیچ اثری ندارد\. .IP "\[ci]" 4 گزینه ALL_CLIENTS=true هنگام آزمودن HTTP یک شبیه‌سازی کلاینت را با \fIتمام\fR کلاینت‌ها (در حال حاضر ۱۲۶ کلاینت) اجرا می‌کند\. .IP "\[ci]" 4 UNBRACKTD_IPV6: برای برخی از نسخه‌های قدیمی OpenSSL (مانند نسخه مربوط به Gentoo) که از نشانی‌های IPv6 درون براکت پشتیبانی نمی‌کنند، باید روی true تنظیم شود\. .IP "\[ci]" 4 NO_ENGINE: اگر با خروجی‌های به‌هم‌ریخته حاوی واژه «engine» مواجه شدید، ممکن است بخواهید این متغیر را روی true تنظیم کنید\. این متغیر testssl\.sh را وادار می‌کند که تلاشی برای پیکربندی engine اوپن‌اس‌اس‌ال یا موتور ناموجود libressl انجام ندهد\. .IP "\[ci]" 4 HEADER_MAXSLEEP: مدت‌زمانی که باید پیش از خاتمه دادن به پردازه برای دریافت بنر سرویس / هدر HTTP منتظر ماند\. .IP "\[ci]" 4 MAX_WAITSOCK: به testssl\.sh دستور می‌دهد که پیش از اعلام قطع اتصال سوکت، تا زمان مشخص‌شده منتظر بماند\. این مقدار را تغییر ندهید مگر اینکه کاملاً از کاری که انجام می‌دهید مطمئن باشید\. مقدار بر حسب ثانیه است\. .IP "\[ci]" 4 CCS_MAX_WAITSOCK مشابه مورد بالا است، اما فقط برای دست‌تکانی‌های CCS، برای هر دو پی‌لود CCS اعمال می‌شود\. این مقدار را تغییر ندهید مگر اینکه کاملاً مطمئن باشید\. مقدار بر حسب ثانیه است\. .IP "\[ci]" 4 HEARTBLEED_MAX_WAITSOCK مشابه MAX_WAITSOCK است، اما فقط برای ServerHello پس از ارسال پی‌لود Heartbleed اعمال می‌شود\. این مقدار را تغییر ندهید مگر اینکه کاملاً مطمئن باشید\. مقدار بر حسب ثانیه است\. .IP "\[ci]" 4 ROBOT_TIMEOUT مشابه مورد بالا است و برای بررسی ROBOT اعمال می‌شود\. .IP "\[ci]" 4 MEASURE_TIME_FILE برای موارد نادری که نمی‌خواهید زمان پویش در خروجی گنجانده شود، می‌توانید این متغیر را روی false تنظیم کنید\. .IP "\[ci]" 4 STARTTLS_SLEEP به طور پیش‌فرض روی 10 (ثانیه) تنظیم شده است\. این مقداری است که testssl\.sh پیش از انصراف، در دست‌تکانی STARTTLS برای یک رشته منتظر می‌ماند\. .IP "\[ci]" 4 MAX_PARALLEL بیشینه تعداد آزمون‌هایی است که باید به طور هم‌زمان در حالت آزمون انبوه موازی اجرا شوند\. مقدار پیش‌فرض ۲۰ را می‌توان روی سیستم‌هایی با پردازنده‌های قوی‌تر افزایش داد\. .IP "\[ci]" 4 MAX_WAIT_TEST بیشینه زمان (بر حسب ثانیه) برای تکمیل یک آزمون منفرد در حالت آزمون انبوه موازی است\. مقدار پیش‌فرض ۱۲۰۰ است\. [comment]: # USLEEP_SND [comment]: # USLEEP_REC .IP "\[ci]" 4 HSTS_MIN از پیش روی 179 (روز) تنظیم شده است\. اگر هشدارهای زودهنگام‌تر یا دیرتری برای HTTP Strict Transport Security می‌خواهید، می‌توانید این مقدار را تغییر دهید\. .IP "\[ci]" 4 HPKP_MIN از پیش روی 30 (روز) تنظیم شده است\. اگر هشدارهای زودهنگام‌تر یا دیرتری برای HTTP Public Key Pinning می‌خواهید، می‌توانید این مقدار را تغییر دهید\. .IP "\[ci]" 4 DAYS2WARN1 اولین آستانه برای دریافت هشدار انقضای گواهی یک میزبان است که از پیش روی 60 (روز) تنظیم شده است\. برای Let's Encrypt این مقدار به طور داخلی بر ۲ تقسیم می‌شود\. .IP "\[ci]" 4 DAYS2WARN2 دومین آستانه برای دریافت هشدار انقضای گواهی یک میزبان است که از پیش روی 30 (روز) تنظیم شده است\. برای Let's Encrypt این مقدار به طور داخلی بر ۲ تقسیم می‌شود\. .IP "\[ci]" 4 TESTSSL_INSTALL_DIR مسیر نصب مشتق‌شده testssl\.sh است\. دایرکتوری‌های \fBbin\fR و دایرکتوری الزامی \fBetc\fR نسبت به این مسیر جستجو خواهند شد\. .IP "\[ci]" 4 CA_BUNDLES_PATH: اگر مجموعه اختصاصی از بسته‌های گواهی CA دارید یا می‌خواهید testssl\.sh را به مکان خاصی از یک بسته CA هدایت کنید، می‌توانید از این متغیر برای تنظیم دایرکتوری مورد استفاده testssl\.sh استفاده کنید\. لطفاً توجه داشته باشید که این متغیر مسیر داخلی testssl\.sh را کاملاً لغو و بازنویسی می‌کند، بدین معنا که تنها در برابر بسته‌هایی آزمون خواهید کرد که به آن‌ها اشاره می‌کنید\. همچنین ممکن است بخواهید از \fB~/utils/create_ca_hashes\.sh\fR برای ایجاد هش‌ها برای HPKP استفاده کنید\. .IP "\[ci]" 4 MAX_SOCKET_FAIL: عددی که به testssl\.sh می‌گوید یک اتصال سوکت TCP پیش از اینکه برنامه منصرف شده و پایان یابد، چند بار می‌تواند با شکست مواجه شود\. مقدار پیش‌فرض 2 است\. اگر مکرراً پیامی مانند \fIFatal error: repeated \TCP connect problems, giving up\fR را مشاهده می‌کنید، می‌توانید آن را به مقدار بالاتری افزایش دهید\. .IP "\[ci]" 4 MAX_OSSL_FAIL: عددی که به testssl\.sh می‌گوید اتصال s_client در OpenSSL پیش از اینکه برنامه منصرف شده و پایان یابد، چند بار می‌تواند ناموفق باشد\. مقدار پیش‌فرض 2 است\. اگر مکرراً پیامی مانند \fIFatal error: repeated openssl s_client connect problem, doesn't make sense to continue\fR را مشاهده می‌کنید، می‌توانید آن را به مقدار بالاتری افزایش دهید\. .IP "\[ci]" 4 MAX_HEADER_FAIL: عددی که به testssl\.sh می‌گوید یک درخواست HTTP GET روی OpenSSL پیش از اینکه برنامه منصرف شده و پایان یابد، چند بار می‌تواند یک فایل خالی برگرداند\. مقدار پیش‌فرض 3 است\. در اینجا نیز اگر پیام‌هایی مانند \fIFatal error: repeated HTTP header connect problems, doesn't make sense to continue\fR را مشاهده کردید، می‌توانید این آستانه را افزایش دهید\. .IP "\[ci]" 4 OPENSSL2 می‌تواند برای ارائه یک نسخه جایگزین openssl استفاده شود\. این گزینه تنها در صورتی منطقی است که بخواهید نسخه موجود در \fBbin/\fR را که فاقد پشتیبانی از TLS 1\.3 است، با نسخه‌ای که دارای این قابلیت است و در \fB/usr/bin/openssl\fR قرار ندارد، جایگزین کنید\. .IP "\[ci]" 4 OSSL_SHORTCUT می‌تواند هنگامی که دستور را به صورت تعاملی اجرا می‌کنید و نمی‌خواهید در صورت برخورد با میزبانی که فقط از TLS 1\.3 پشتیبانی می‌کند به طور خودکار به \fB/usr/bin/openssl\fR (\fBOPENSSL2\fR) تغییر وضعیت دهید، روی true تنظیم شود\. .IP "" 0 .SS "رتبه‌بندی (RATING)" این برنامه یک پیاده‌سازی تقریباً کامل از «SSL Server Rating Guide» متعلق به SSL Labs در \fIhttps://github\.com/ssllabs/research/wiki/SSL\-Server\-Rating\-Guide\fR دارد\. .P این برنامه یک پیاده‌سازی مجدد ۱۰۰ درصدی از «SSL Server Test» متعلق به SSL Labs در \fIhttps://www\.ssllabs\.com/ssltest/analyze\.html\fR \fIنیست\fR، بلکه پیاده‌سازی مشخصات رتبه‌بندی فوق است و ممکن است اختلافات جزئی وجود داشته باشد\. لطفاً توجه داشته باشید که ما در حال حاضر تا حد امکان به رتبه‌بندی SSL Labs وفادار مانده‌ایم\. ما مسئولیتی در قبال نحوه رتبه‌بندی آن‌ها نداریم\. پیش از ثبت گزارش اشکال، لطفاً راهنمای رتبه‌بندی آن‌ها را بررسی کنید\. .P سلب مسئولیت: داشتن یک نمره خوب لزوماً \fBبه معنای\fR داشتن امنیت خوب نیست! رقابتی برای کسب بهترین نمره راه نیندازید، دست‌کم نه بدون پایش دست‌تکانی‌های کلاینت و نه بدون در نظر گرفتن عقل سلیم\. لطفاً توجه داشته باشید که STARTTLS همیشه منجر به محدود شدن حداکثر نمره به T می‌شود\. هر نتیجه دیگری منجر به احساس امنیت کاذب خواهد شد\. از TLS استفاده کنید، همچنین RFC 8314 را ببینید\. امنیت STARTTLS همیشه توسط کلاینت تعیین می‌شود، یعنی از طریق بررسی گواهی که برای SMTP روی پورت 25 در اغلب موارد انجام نمی‌شود\. همچنین با DANE یا MTA\-STS هیچ‌کس نمی‌تواند در سمت سرور بررسی کند که آیا کلاینت واقعاً از آن استفاده می‌کند یا خیر\. .P در زمان نگارش این متن، این بررسی‌ها وجود ندارند: * بررسی GOLDENDOODLE \- در صورت آسیب‌پذیر بودن باید نمره \fBF\fR بگیرد * مذاکره مجدد ناامن (Insecure renegotiation) \- در صورت آسیب‌پذیر بودن باید نمره \fBF\fR بگیرد * اوراکل پدینگ در بررسی AES\-NI CBC MAC (شناسه CVE\-2016\-2107) \- در صورت آسیب‌پذیر بودن باید نمره \fBF\fR بگیرد * بررسی Sleeping POODLE \- در صورت آسیب‌پذیر بودن باید نمره \fBF\fR بگیرد * اوراکل پدینگ با طول صفر (شناسه CVE\-2019\-1559) \- در صورت آسیب‌پذیر بودن باید نمره \fBF\fR بگیرد * بررسی Zombie POODLE \- در صورت آسیب‌پذیر بودن باید نمره \fBF\fR بگیرد * سلب اعتماد از تمام گواهی‌های قدیمی باقی‌مانده Symantec PKI \- باید نمره \fBT\fR بگیرد * سلب اعتماد از گواهی‌های Symantec صادرشده پیش از ژوئن ۲۰۱۶ \- باید نمره \fBT\fR بگیرد * تبادل کلید ناشناس (Anonymous key exchange) \- باید امتیاز \fB0\fR در \fBset_key_str_score()\fR بدهد * تبادل کلید صادراتی (Exportable key exchange) \- باید امتیاز \fB40\fR در \fBset_key_str_score()\fR بدهد * کلید ضعیف (نقص Debian OpenSSL) \- باید امتیاز \fB0\fR در \fBset_key_str_score()\fR بدهد .P برای پیاده‌سازی یک سقف نمره جدید، کافی است تابع \fBset_grade_cap()\fR را به همراه نمره و یک دلیل فراخوانی کنید: \fBbash set_grade_cap "D" "Vulnerable to documentation"\fR برای پیاده‌سازی یک هشدار نمره جدید، تابع \fBset_grade_warning()\fR را با یک پیام فراخوانی کنید: \fBbash set_grade_warning "Documentation is always right"\fR #### پیاده‌سازی یک بررسی جدید که شامل سقف نمره است: هنگام پیاده‌سازی یک بررسی جدید (چه آسیب‌پذیری باشد و چه نباشد) که سقف نمره تعیین می‌کند، تابع \fBset_rating_state()\fR باید به‌روزرسانی شود (یعنی نام متغیر \fB$do_mycheck\fR باید به حلقه اضافه شده و شرط if برای \fB$nr_enabled\fR باید افزایش یابد) .P تابع \fBset_rating_state()\fR در صورتی که همه بررسی‌های الزامی فعال \fIنباشند\fR، رتبه‌بندی را به طور خودکار غیرفعال می‌کند\. این امر برای جلوگیری از ارائه نمره گمراه‌کننده یا نادرست است\. .P هنگامی که ویرایش جدیدی از مشخصات رتبه‌بندی ارائه می‌شود، اقدامات زیر باید انجام شوند: * سقف‌های نمره جدید باید یا: ۱\. در هر جای مرتبط به اسکریپت اضافه شوند، یا ۲\. به فهرست بررسی‌های ناموجود بالا اضافه شوند (اگر مورد اول امکان‌پذیر نباشد) * هشدارهای نمره جدید باید در هر جای مرتبط اضافه شوند * خروجی نسخه بازنگری در تابع \fBrun_rating()\fR باید به‌روزرسانی شود .SH "مثال‌ها (EXAMPLES)" .nf testssl\.sh testssl\.sh .fi .P یک اجرای پیش‌فرض را روی https://testssl\.sh انجام می‌دهد (پروتکل‌ها، فهرست‌های استاندارد سایفر، اولویت‌های سایفر سرور، پنهان‌داری پیشرو [forward secrecy]، پیش‌فرض‌های سرور، آسیب‌پذیری‌ها، شبیه‌سازی کلاینت و رتبه‌بندی)\. .IP "" 4 .nf testssl\.sh testssl\.net:443 .fi .IP "" 0 .P همان اجرای پیش‌فرض بالا را انجام می‌دهد با این تفاوت جزئی که testssl\.net دارای دو نشانی IPv4 است\. هر دو آزموده می‌شوند\. .IP "" 4 .nf testssl\.sh \-\-ip=one \-\-wide https://testssl\.net:443 .fi .IP "" 0 .P همان بررسی‌های بالا را انجام می‌دهد، با این تفاوت که یک نشانی IP به صورت تصادفی انتخاب می‌شود\. هر جا که امکان داشته باشد خروجی‌ها در قالب عریض (wide) نمایش داده می‌شوند\. .IP "" 4 .nf testssl\.sh \-6 https://testssl\.net .fi .IP "" 0 .P برخلاف مثال اول، بخش IPv6 را نیز می‌آزماید \-\- با این فرض که شما یک شبکه IPv6 دارید و openssl شما از IPv6 پشتیبانی می‌کند (بالا را ببینید)\. .IP "" 4 .nf testssl\.sh \-t smtp smtp\.gmail\.com:25 .fi .IP "" 0 .P بررسی‌ها از طریق دست‌تکانی STARTTLS روی پورت متن‌ساده 25 انجام می‌شوند\. این دستور هر IP متعلق به smtp\.gmail\.com را بررسی می‌کند\. .IP "" 4 .nf testssl\.sh \-\-starttls=imap imap\.gmx\.net:143 .fi .IP "" 0 .P همین کار را روی پورت متن‌ساده IMAP انجام می‌دهد\. .P لطفاً توجه داشته باشید که برای پورت‌های رمزگذاری‌شده استاندارد TLS که در آن‌ها دست‌تکانی STARTTLS ارائه نمی‌شود، نباید گزینه پروتکل را مشخص کنید: دستور \fBtestssl\.sh smtp\.gmail\.com:465\fR صرفاً رمزگذاری روی پورت SMTPS را بررسی می‌کند، و دستور \fBtestssl\.sh imap\.gmx\.net:993\fR روی پورت IMAPS\. همچنین MongoDB که پشتیبانی از TLS را بدون STARTTLS ارائه می‌دهد، می‌تواند مستقیماً آزموده شود\..SH "RFCها و استانداردهای دیگر (RFCS AND OTHER STANDARDS)" .IP "\[ci]" 4 RFC 2246: The TLS Protocol Version 1\.0 .IP "\[ci]" 4 RFC 2595: Using TLS with IMAP, POP3 and ACAP .IP "\[ci]" 4 RFC 2818: HTTP Over TLS .IP "\[ci]" 4 RFC 2830: Lightweight Directory Access Protocol (v3): Extension for Transport Layer Security .IP "\[ci]" 4 RFC 3207: SMTP Service Extension for Secure SMTP over Transport Layer Security .IP "\[ci]" 4 RFC 3501: INTERNET MESSAGE ACCESS PROTOCOL \- VERSION 4rev1 .IP "\[ci]" 4 RFC 4346: The Transport Layer Security (TLS) Protocol Version 1\.1 .IP "\[ci]" 4 RFC 4366: Transport Layer Security (TLS) Extensions .IP "\[ci]" 4 RFC 4492: Elliptic Curve Cryptography (ECC) Cipher Suites for Transport Layer Security (TLS) .IP "\[ci]" 4 RFC 5077: Transport Layer Security (TLS) Session Resumption .IP "\[ci]" 4 RFC 5246: The Transport Layer Security (TLS) Protocol Version 1\.2 .IP "\[ci]" 4 RFC 5280: Internet X\.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile .IP "\[ci]" 4 RFC 5321: Simple Mail Transfer Protocol .IP "\[ci]" 4 RFC 5746: Transport Layer Security (TLS) Renegotiation Indication Extension .IP "\[ci]" 4 RFC 5804: A Protocol for Remotely Managing Sieve Scripts .IP "\[ci]" 4 RFC 6066: Transport Layer Security (TLS) Extensions: Extension Definitions .IP "\[ci]" 4 RFC 6101: The Secure Sockets Layer (SSL) Protocol Version 3\.0 .IP "\[ci]" 4 RFC 6120: Extensible Messaging and Presence Protocol (XMPP): Core .IP "\[ci]" 4 RFC 6125: Domain\-Based Application Service Identity [\.\.] .IP "\[ci]" 4 RFC 6797: HTTP Strict Transport Security (HSTS) .IP "\[ci]" 4 RFC 6961: The Transport Layer Security (TLS) Multiple Certificate Status Request Extension .IP "\[ci]" 4 RFC 7469: Public Key Pinning Extension for HTTP (HPKP) .IP "\[ci]" 4 RFC 7507: TLS Fallback Signaling Cipher Suite Value (SCSV) for Preventing Protocol Downgrade Attacks .IP "\[ci]" 4 RFC 7627: Transport Layer Security (TLS) Session Hash and Extended Master Secret Extension .IP "\[ci]" 4 RFC 7633: X\.509v3 Transport Layer Security (TLS) Feature Extension .IP "\[ci]" 4 RFC 7465: Prohibiting RC4 Cipher Suites .IP "\[ci]" 4 RFC 7685: A Transport Layer Security (TLS) ClientHello Padding Extension .IP "\[ci]" 4 RFC 7905: ChaCha20\-Poly1305 Cipher Suites for Transport Layer Security (TLS) .IP "\[ci]" 4 RFC 7919: Negotiated Finite Field Diffie\-Hellman Ephemeral Parameters for Transport Layer Security .IP "\[ci]" 4 RFC 8143: Using Transport Layer Security (TLS) with Network News Transfer Protocol (NNTP) .IP "\[ci]" 4 RFC 8446: The Transport Layer Security (TLS) Protocol Version 1\.3 .IP "\[ci]" 4 RFC 8701: Applying Generate Random Extensions And Sustain Extensibility (GREASE) to TLS Extensibility .IP "\[ci]" 4 W3C CSP: Content Security Policy Level 1\-3 .IP "\[ci]" 4 TLSWG Draft: The Transport Layer Security (TLS) Protocol Version 1\.3 .IP "" 0 .SH "وضعیت خروج (EXIT STATUS)" .IP "\[ci]" 4 0 اسکریپت testssl\.sh با موفقیت و بدون هیچ خطا یا نتیجهٔ مبهمی به پایان رسید\. .IP "\[ci]" 4 1 اسکریپت testssl\.sh در حین اجرا دقیقاً با یک وضعیت مبهم یا یک خطا مواجه شد\. .IP "\[ci]" 4 1+n مشابه مورد قبلی؛ خطاها یا نتایج مبهم با یکدیگر جمع می‌شوند (همچنین به ازای هر IP)\. .IP "\[ci]" 4 50\-200 برای بازگرداندن امتیاز آسیب‌پذیری جهت پایش سیستم یا ابزارهای CI رزرو شده است\. .IP "\[ci]" 4 242 (ERR_CHILD) فرآیند فرزند یک سیگنال از master دریافت کرد\. .IP "\[ci]" 4 244 (ERR_RESOURCE) منابع مورد نیاز testssl\.sh قابل خواندن نبودند\. .IP "\[ci]" 4 245 (ERR_CLUELESS) وضعیت نامشخص، به دلیل گزینه‌های کاربر یا خود testssl\.sh\. .IP "\[ci]" 4 246 (ERR_CONNECT) مشکل در برقراری اتصال\. .IP "\[ci]" 4 247 (ERR_DNSLOOKUP) مشکل در تحلیل نام‌ها یا نشانی‌های IP\. .IP "\[ci]" 4 248 (ERR_OTHERCLIENT) سایر مشکلات کلاینت\. .IP "\[ci]" 4 249 (ERR_DNSBIN) مشکل در باینری‌های تحلیل DNS\. .IP "\[ci]" 4 250 (ERR_OSSLBIN) مشکل در باینری OpenSSL\. .IP "\[ci]" 4 251 (ERR_NOSUPPORT) قابلیت درخواستی پشتیبانی نمی‌شود\. .IP "\[ci]" 4 252 (ERR_FNAMEPARSE) فایل ورودی قابل تجزیه نبود\. .IP "\[ci]" 4 253 (ERR_FCREATE) فایل خروجی قابل ایجاد نبود\. .IP "\[ci]" 4 254 (ERR_CMDLINE) خط فرمان قابل تجزیه نبود\. .IP "\[ci]" 4 255 (ERR_BASH) نسخهٔ Bash نادرست است\. .IP "" 0 .SH "فایل‌ها (FILES)" \fBetc/*pem\fR مخازن گواهی مربوط به Apple، Linux، Mozilla Firefox، Windows و Java هستند\. .P \fBetc/client\-simulation\.txt\fR حاوی داده‌های شبیه‌سازی کلاینت است\. .P \fBetc/cipher\-mapping\.txt\fR فایل الزامی حاوی نگاشت نام مجموعه‌های رمزشناسی OpenSSL به نام‌های IANA / استفاده‌شده در RFCها را فراهم می‌کند\. .P \fBetc/tls_data\.txt\fR فایل الزامی برای الگوریتم‌های رمزنگاری (سوکت‌های bash) و داده‌های کلید را فراهم می‌کند\. .SH "نویسندگان (AUTHORS)" توسعه‌یافته توسط Dirk Wetter، David Cooper و بسیاری دیگر؛ فایل CREDITS\.md را ببینید\. .SH "کپی‌رایت و تکثیر (COPYRIGHT)" حق نشر \(co 2012 Dirk Wetter\. مجوز GPLv2: بنیاد نرم‌افزارهای آزاد (Free Software Foundation, Inc\.)\. این نرم‌افزار آزاد است: شما می‌توانید تحت شرایط مجوز، آن را تغییر داده و بازتوزیع کنید؛ فایل LICENSE را ببینید\. .P ذکر منبع (انتساب) برای آیندهٔ این پروژه \- همچنین در اینترنت \- مهم است\. بنابراین اگر شما پویشگری مبتنی بر testssl\.sh را به عنوان یک سرویس عمومی و/یا تجاری در اینترنت ارائه می‌دهید، اکیداً توصیه می‌شود به مخاطبان خود اعلام کنید که از این برنامه استفاده می‌کنید و این برنامه را از کجا می‌توان تهیه کرد\. این کار به ما کمک می‌کند تا اصلاحات باگ، بازخوردهای دیگر و مشارکت‌های بیشتری دریافت کنیم\. .P استفاده بدون هرگونه ضمانت (WITHOUT ANY WARRANTY)\. با مسئولیت خودتان استفاده کنید (USE at your OWN RISK)!.SH "محدودیت‌ها (LIMITATION)" تمامی پلتفرم‌های بومی Windows که Linux را شبیه‌سازی می‌کنند، به کند بودن معروف هستند\. .SH "گزارش باگ‌ها (BUGS)" احتمالاً وجود دارند\. موارد شناخته‌شدهٔ کنونی و رابط ثبت باگ‌های جدید: https://testssl\.sh/bugs \. .SH "همچنین ببینید (SEE ALSO)" \fBciphers\fR(1)، \fBopenssl\fR(1)، \fBs_client\fR(1)، \fBx509\fR(1)، \fBverify\fR(1)، \fBocsp\fR(1)، \fBcrl\fR(1)، \fBbash\fR(1) و وب‌گاه‌های https://testssl\.sh و https://github\.com/testssl/testssl\.sh \.