.\" Automatically generated by Pod::Man 2.28 (Pod::Simple 3.29) .\" .\" Standard preamble: .\" ======================================================================== .de Sp \" Vertical space (when we can't use .PP) .if t .sp .5v .if n .sp .. .de Vb \" Begin verbatim text .ft CW .nf .ne \\$1 .. .de Ve \" End verbatim text .ft R .fi .. .\" Set up some character translations and predefined strings. \*(-- will .\" give an unbreakable dash, \*(PI will give pi, \*(L" will give a left .\" double quote, and \*(R" will give a right double quote. \*(C+ will .\" give a nicer C++. Capital omega is used to do unbreakable dashes and .\" therefore won't be available. \*(C` and \*(C' expand to `' in nroff, .\" nothing in troff, for use with C<>. .tr \(*W- .ds C+ C\v'-.1v'\h'-1p'\s-2+\h'-1p'+\s0\v'.1v'\h'-1p' .ie n \{\ . ds -- \(*W- . ds PI pi . if (\n(.H=4u)&(1m=24u) .ds -- \(*W\h'-12u'\(*W\h'-12u'-\" diablo 10 pitch . if (\n(.H=4u)&(1m=20u) .ds -- \(*W\h'-12u'\(*W\h'-8u'-\" diablo 12 pitch . ds L" "" . ds R" "" . ds C` "" . ds C' "" 'br\} .el\{\ . ds -- \|\(em\| . ds PI \(*p . ds L" `` . ds R" '' . ds C` . ds C' 'br\} .\" .\" Escape single quotes in literal strings from groff's Unicode transform. .ie \n(.g .ds Aq \(aq .el .ds Aq ' .\" .\" If the F register is turned on, we'll generate index entries on stderr for .\" titles (.TH), headers (.SH), subsections (.SS), items (.Ip), and index .\" entries marked with X<> in POD. Of course, you'll have to process the .\" output yourself in some meaningful fashion. .\" .\" Avoid warning from groff about undefined register 'F'. .de IX .. .nr rF 0 .if \n(.g .if rF .nr rF 1 .if (\n(rF:(\n(.g==0)) \{ . if \nF \{ . de IX . tm Index:\\$1\t\\n%\t"\\$2" .. . if !\nF==2 \{ . nr % 0 . nr F 2 . \} . \} .\} .rr rF .\" ======================================================================== .\" .IX Title "S_SERVER 1SSL" .TH S_SERVER 1SSL "2015-12-31" "1.0.2a 1.0.2c" "OpenSSL" .\" For nroff, turn off justification. Always turn off hyphenation; it makes .\" way too many mistakes in technical documents. .if n .ad l .nh .SH "NOM" .IX Header "NOM" s_server \- programme serveur \s-1SSL\s0 ou \s-1TLS\s0 .SH "SYNOPSIS" .IX Header "SYNOPSIS" \&\fBopenssl\fR \fBs_server\fR [\fB\-accept\fR \fIport\fR] [\fB\-context\fR \fIidentifiant\fR] [\fB\-verify\fR \fIprofondeur\fR] [\fB\-Verify\fR \fIprofondeur\fR] [\fB\-crl_check\fR] [\fB\-crl_check_all\fR] [\fB\-cert\fR \fIfichier\fR] [\fB\-certform \s-1DER\s0\fR|\fB\s-1PEM\s0\fR] [\fB\-key\fR \&\fIfichier\fR] [\fB\-keyform \s-1DER\s0\fR|\fB\s-1PEM\s0\fR] [\fB\-pass\fR \fIparam\fR] [\fB\-dcert\fR \&\fIfichier\fR] [\fB\-dcertform \s-1DER\s0\fR|\fB\s-1PEM\s0\fR] [\fB\-dkey\fR \fIfichier\fR] [\fB\-dkeyform \&\s-1DER\s0\fR|\fB\s-1PEM\s0\fR] [\fB\-dpass\fR \fIparam\fR] [\fB\-dhparam\fR \fIfichier\fR] [\fB\-nbio\fR] [\fB\-nbio_test\fR] [\fB\-crlf\fR] [\fB\-debug\fR] [\fB\-msg\fR] [\fB\-state\fR] [\fB\-CApath\fR \&\fIrépertoire\fR] [\fB\-CAfile\fR \fIfichier\fR] [\fB\-no_alt_chains\fR] [\fB\-nocert\fR] [\fB\-cipher\fR \fIlistechiffrements\fR] [\fB\-serverpref\fR] [\fB\-quiet\fR] [\fB\-no_tmp_rsa\fR] [\fB\-ssl2\fR] [\fB\-ssl3\fR] [\fB\-tls1\fR] [\fB\-no_ssl2\fR] [\fB\-no_ssl3\fR] [\fB\-no_tls1\fR] [\fB\-no_dhe\fR] [\fB\-bugs\fR] [\fB\-hack\fR] [\fB\-www\fR] [\fB\-WWW\fR] [\fB\-HTTP\fR] [\fB\-engine\fR \fIidentifiant\fR] [\fB\-tlsextdebug\fR] [\fB\-no_ticket\fR] [\fB\-id_prefix\fR \fIparam\fR] [\fB\-rand\fR \fIfichier(s)\fR] [\fB\-serverinfo\fR \fIfichier\fR] [\fB\-no_resumption_on_reneg\fR] [\fB\-status\fR] [\fB\-status_verbose\fR] [\fB\-status_timeout\fR \fInsec\fR] [\fB\-status_url\fR \fI\s-1URL\s0\fR] [\fB\-nextprotoneg\fR \fIprotocoles\fR] .SH "DESCRIPTION" .IX Header "DESCRIPTION" La commande \fBs_server\fR implémente un serveur \s-1SSL\s0 ou \s-1TLS\s0 générique qui attend les connexions sur un port donné en utilisant \s-1SSL\s0 ou \s-1TLS.\s0 .SH "OPTIONS" .IX Header "OPTIONS" .IP "\fB\-accept\fR \fIport\fR" 4 .IX Item "-accept port" Le port \s-1TCP\s0 où attendre les connexions. Sans indication, le port 4433 est utilisé. .IP "\fB\-context\fR \fIidentifiant\fR" 4 .IX Item "-context identifiant" Définir l’identifiant de contexte \s-1SSL.\s0 N’importe quelle valeur de chaîne peut être donnée. Si cette option est absente, une valeur par défaut sera utilisée. .IP "\fB\-cert\fR \fIfichier\fR" 4 .IX Item "-cert fichier" Le certificat à utiliser, la plupart des ensembles de chiffrements de serveurs nécessitent l’utilisation d’un certificat et certains ont besoin d’un certificat avec un certain type de clef publique : par exemple les ensembles de chiffrements \s-1DSS\s0 ont besoin d’un certificat contenant une clef \&\s-1DSS \s0(\s-1DSA\s0). Si aucun n’est indiqué, le nom de fichier \fIserver.pem\fR sera utilisé. .IP "\fB\-certform\fR \fIformat\fR" 4 .IX Item "-certform format" Le format de certificat à utiliser : \fB\s-1DER\s0\fR ou \fB\s-1PEM\s0\fR. Par défaut, \fB\s-1PEM\s0\fR est utilisé. .IP "\fB\-key\fR \fIfichier\fR" 4 .IX Item "-key fichier" La clef privée à utiliser. En absence d’indication, le fichier de certificats sera utilisé. .IP "\fB\-keyform\fR \fIformat\fR" 4 .IX Item "-keyform format" Le format privé à utiliser : \fB\s-1DER\s0\fR ou \fB\s-1PEM\s0\fR. Par défaut, \fB\s-1PEM\s0\fR est utilisé. .IP "\fB\-pass\fR \fIparam\fR" 4 .IX Item "-pass param" La source du mot de passe de la clef privée. Pour plus d'informations sur le format de \fIparam\fR, consultez la section \fBPARAMÈTRES \s-1DE PHRASE\s0 SECRÈTE\fR d'\fBopenssl\fR(1). .IP "\fB\-dcert\fR \fIfichier\fR, \fB\-dkey\fR \fIfichier\fR" 4 .IX Item "-dcert fichier, -dkey fichier" Indiquer un certificat et une clef privée supplémentaires, cela se comporte de la même façon que les options \fB\-cert\fR et \fB\-key\fR à part, si elles ne sont pas indiquées, l’absence de valeur par défaut (aucun certificat ni clef supplémentaires ne seront utilisés). Comme indiqué précédemment, certains ensembles de chiffrements nécessitent un certificat contenant une clef d’un certain type. Certains ensembles de chiffrements ont besoin d’un certificat contenant une clef \s-1RSA\s0 et d’autres une clef \s-1DSS \s0(\s-1DSA\s0). En utilisant des certificats et clefs \s-1RSA\s0 et \s-1DSS,\s0 un serveur peut accepter les clients qui ne gèrent que les ensembles de chiffrements \s-1RSA\s0 ou \s-1DSS\s0 en utilisant un certificat approprié. .IP "\fB\-dcertform\fR \fIformat\fR, \fB\-dkeyform\fR \fIformat\fR, \fB\-dpass\fR \fIparam\fR" 4 .IX Item "-dcertform format, -dkeyform format, -dpass param" Ajouter respectivement le format de certificat et de clef privée, et la phrase secrète. .IP "\fB\-nocert\fR" 4 .IX Item "-nocert" Si cette option est définie, aucun certificat n’est utilisé. Cela restreint les ensembles de chiffrements disponibles à ceux anonymes (actuellement seulement \s-1DH\s0 anonyme). .IP "\fB\-dhparam\fR \fIfichier\fR" 4 .IX Item "-dhparam fichier" Le fichier de paramètres \s-1DH\s0 à utiliser. Les ensembles de chiffrements \s-1DH\s0 éphémères génèrent des clefs utilisant un ensemble de paramètres \s-1DH.\s0 Sans indication, une tentative de chargement des paramètres est réalisée à partir du fichier de certificats serveur. Si cela échoue, alors un ensemble fixe de paramètres, et propre au programme \fBs_server\fR, sera utilisé. .IP "\fB\-no_dhe\fR" 4 .IX Item "-no_dhe" Si cette option est définie, aucun paramètre \s-1DH\s0 ne sera chargé, désactivant effectivement les ensembles de chiffrements \s-1DH\s0 éphémères. .IP "\fB\-no_tmp_rsa\fR" 4 .IX Item "-no_tmp_rsa" Certains ensembles de chiffrements d’exportation utilisent parfois une clef \&\s-1RSA\s0 temporaire, cette option désactive la création de clef \s-1RSA\s0 temporaire. .IP "\fB\-verify\fR \fIprofondeur\fR, \fB\-Verify\fR \fIprofondeur\fR" 4 .IX Item "-verify profondeur, -Verify profondeur" La profondeur de vérification à utiliser. Cela indique la taille maximale de la chaîne de certificats du client et force le serveur à demander un certificat au client. Avec l’option \fB\-verify\fR, un certificat est demandé mais le client ne doit pas nécessairement en envoyer un, avec l’option \&\fB\-Verify\fR, le client doit fournir un certificat sinon une erreur survient. .Sp Si l’ensemble de chiffrements ne peut pas demander un client de certificat (par exemple un ensemble de chiffrements anonyme ou \s-1PSK\s0), cette option est sans effet. .IP "\fB\-crl_check\fR, \fB\-crl_check_all\fR" 4 .IX Item "-crl_check, -crl_check_all" Vérifier que le certificat du pair n’a pas été révoqué par son autorité de certification. Les listes de révocations de certificat sont ajoutées au fichier de certificats. Avec l’option \fB\-crl_check_all\fR, toutes les listes de révocations de certificat de toutes les autorités de certification de la chaîne sont vérifiées. .IP "\fB\-CApath\fR \fIrépertoire\fR" 4 .IX Item "-CApath répertoire" Le répertoire utilisé pour la vérification de certificat du client. Ce répertoire doit être au « format de hachage », consultez \fBverify\fR pour plus de renseignements. Il est aussi utilisé pour construire la chaîne de certificats du serveur. .IP "\fB\-CAfile\fR \fIfichier\fR" 4 .IX Item "-CAfile fichier" Un fichier contenant les certificats de confiance à utiliser lors d’une authentification de client et à utiliser lors d’une tentative de construction de chaîne de certificats du serveur. La liste est aussi utilisée dans la liste d’autorités de certification possibles transmise au client quand un certificat est demandé. .IP "\fB\-no_alt_chains\fR" 4 .IX Item "-no_alt_chains" Consultez la page de manuel \fBverify\fR(1) pour plus de précisions. .IP "\fB\-state\fR" 4 .IX Item "-state" Afficher les états de session \s-1SSL.\s0 .IP "\fB\-debug\fR" 4 .IX Item "-debug" Afficher des renseignements de débogage complets y compris l’intégralité des échanges au format hexadécimal. .IP "\fB\-msg\fR" 4 .IX Item "-msg" Montrer tous les messages de protocole avec les échanges au format hexadécimal. .IP "\fB\-nbio_test\fR" 4 .IX Item "-nbio_test" Tester les entrées et sorties non bloquantes. .IP "\fB\-nbio\fR" 4 .IX Item "-nbio" Activer les entrées et sorties non bloquantes. .IP "\fB\-crlf\fR" 4 .IX Item "-crlf" Cette option traduit un changement de ligne du terminal en \s-1RC+PAL \s0(\s-1CR+LF\s0). .IP "\fB\-quiet\fR" 4 .IX Item "-quiet" Empêcher l’affichage de renseignements sur la session et le certificat. .IP "\fB\-psk_hint\fR \fIsuggestion\fR" 4 .IX Item "-psk_hint suggestion" Utiliser la \fIsuggestion\fR \s-1PSK\s0 lors de l’utilisation d’un ensemble de chiffrements \s-1PSK.\s0 .IP "\fB\-psk\fR \fIclef\fR" 4 .IX Item "-psk clef" Utiliser la clef \s-1PSK \s0\fIclef\fR lors de l’utilisation d’un ensemble de chiffrements \s-1PSK.\s0 La clef est donnée comme un nombre hexadécimal sans être précédé par 0x, par exemple \fB\-psk 1a2b3c4d\fR. .IP "\fB\-ssl2\fR, \fB\-ssl3\fR, \fB\-tls1\fR, \fB\-no_ssl2\fR, \fB\-no_ssl3\fR, \fB\-no_tls1\fR" 4 .IX Item "-ssl2, -ssl3, -tls1, -no_ssl2, -no_ssl3, -no_tls1" Ces options désactivent l’utilisation de certains protocoles \s-1SSL\s0 ou \s-1TLS.\s0 Par défaut, l’initialisation de connexion utilise une méthode qui devrait être compatible avec tous les serveurs et leur permettre d’utiliser \s-1SSL\s0 v3, \&\s-1SSL\s0 v2 ou \s-1TLS\s0 comme approprié. .IP "\fB\-bugs\fR" 4 .IX Item "-bugs" Plusieurs bogues sont connus dans les implémentations \s-1SSL\s0 et \s-1TLS. L\s0'ajout de cette option permet de contourner certains problèmes. .IP "\fB\-hack\fR" 4 .IX Item "-hack" Cette option active un autre contournement pour du vieux code \s-1SSL\s0 de Netscape. .IP "\fB\-cipher\fR \fIlistechiffrements\fR" 4 .IX Item "-cipher listechiffrements" Cela permet à la liste de chiffrements utilisée par le serveur d’être modifiée. Quand le client envoie une liste de chiffrements pris en charge, le premier algorithme de chiffrement client pris en charge, aussi inclus dans la liste du serveur, est utilisé. Comme le client indique l’ordre de préférence, l’ordre de la liste de chiffrements du serveur n’a pas d’importance. Consultez la commande \fBciphers\fR pour plus de renseignements. .IP "\fB\-serverpref\fR" 4 .IX Item "-serverpref" Utiliser les préférences de chiffrement du serveur au lieu des préférences du client. .IP "\fB\-tlsextdebug\fR" 4 .IX Item "-tlsextdebug" Afficher les échanges au format hexadécimal de toutes les extensions \s-1TLS\s0 reçues du serveur. .IP "\fB\-no_ticket\fR" 4 .IX Item "-no_ticket" Désactiver la prise en charge des tickets de session \s-1RFC 4507\s0 bis. .IP "\fB\-www\fR" 4 .IX Item "-www" Renvoyer un message d’état au client quand il se connecte. Cela contient beaucoup de renseignements sur les algorithmes de chiffrement utilisés et divers paramètres de session. La sortie est au format \s-1HTML\s0 donc cette option sera normalement utilisée avec un navigateur web. .IP "\fB\-WWW\fR" 4 .IX Item "-WWW" Émuler un serveur web simple. Les pages seront résolues relativement au répertoire actuel, par exemple si l’URL https://hôte/page.html est demandée, le fichier ./page.html sera chargé. .IP "\fB\-HTTP\fR" 4 .IX Item "-HTTP" Émuler un serveur web simple. Les pages seront résolues relativement au répertoire actuel, par exemple si l’URL https://hôte/page.html est demandée, le fichier ./page.html sera chargé. Les fichiers chargés sont supposés contenir une réponse \s-1HTTP\s0 complète et correcte (les lignes qui font partie de la ligne de réponse \s-1HTTP\s0 et les en\-têtes doivent se terminer par \s-1RC+PAL \&\s0(\s-1CR+LF\s0). .IP "\fB\-engine\fR \fIidentifiant\fR" 4 .IX Item "-engine identifiant" Indiquer un moteur (en utilisant son identifiant unique \fIidentifiant\fR) obligera \fBs_server\fR à essayer d'obtenir une référence fonctionnelle pour le moteur indiqué et l'initialiser si nécessaire. Le moteur sera ensuite utilisé par défaut pour tous les algorithmes disponibles. .IP "\fB\-id_prefix\fR \fIparam\fR" 4 .IX Item "-id_prefix param" Générer des identifiants de session \s-1SSL\s0 ou \s-1TLS\s0 précédés par \fIparam\fR. C’est surtout utile pour tester n’importe quel code \s-1SSL\s0 ou \s-1TLS \s0(par exemple les mandataires, ou « proxy ») qui désire échanger avec plusieurs serveurs quand chacun d’eux pourrait générer une série d’identifiants particuliers de session (par exemple avec un certain préfixe). .IP "\fB\-rand\fR \fIfichier(s)\fR" 4 .IX Item "-rand fichier(s)" Un ou plusieurs fichiers contenant des données aléatoires utilisées pour initialiser le générateur de nombres pseudoaléatoires, ou une socket \s-1EGD \&\s0(consultez \fBRAND_egd\fR(3)). Plusieurs fichiers peuvent être indiqués en utilisant le séparateur du système d'exploitation : « \fB;\fR » pour Windows, « \fB,\fR » pour OpenVMS et « \fB:\fR » pour tous les autres. .IP "\fB\-serverinfo\fR \fIfichier\fR" 4 .IX Item "-serverinfo fichier" Un fichier contenant au moins un bloc de données \s-1PEM.\s0 Chaque bloc \s-1PEM\s0 doit encoder une extension \s-1TLS\s0 ServerHello (2 octets de type, 2 octets de taille, suivis de « taille » octets de données d’extension). Si le client envoie une extension \s-1TLS\s0 ClientHello vide correspondant au type, l’extension ServerHello correspondante sera renvoyée. .IP "\fB\-no_resumption_on_reneg\fR" 4 .IX Item "-no_resumption_on_reneg" Activer l’attribut \s-1SSL_OP_NO_SESSION_RESUMPTION_ON_RENEGOTIATION.\s0 .IP "\fB\-status\fR" 4 .IX Item "-status" Activer la prise en charge de demande d’état de certificat au serveur (agrafage \s-1OCSP\s0). .IP "\fB\-status_verbose\fR" 4 .IX Item "-status_verbose" Activer la prise en charge de demande d’état de certificat au serveur (agrafage \s-1OCSP\s0) et donner une sortie bavarde de la réponse \s-1OCSP.\s0 .IP "\fB\-status_timeout\fR \fInsec\fR" 4 .IX Item "-status_timeout nsec" Définir la durée d'expiration pour la réponse \s-1OCSP\s0 à \fInsec\fR secondes. .IP "\fB\-status_url\fR \fI\s-1URL\s0\fR" 4 .IX Item "-status_url URL" Définir une \s-1URL\s0 de répondeur de repli à utiliser si aucune \s-1URL\s0 de répondeur n’est présente dans le certificat du serveur. Sans cette option, une erreur est renvoyée si le certificat du serveur ne contient pas d’adresse de répondeur. .IP "\fB\-nextprotoneg\fR \fIprotocoles\fR" 4 .IX Item "-nextprotoneg protocoles" Activer l’extension \s-1TLS\s0 de négociation du prochain protocole (« Next Protocol Negotiation ») et fournir une liste de noms de protocoles séparés par des virgules. La liste devrait d’abord contenir les protocoles les plus voulus. Les noms de protocole sont des chaînes \s-1ASCII\s0 affichables, par exemple « http/1.1 » ou « spdy/3 ». .SH "COMMANDES DE CONNEXION" .IX Header "COMMANDES DE CONNEXION" Si une connexion demandée est établie avec un client \s-1SSL\s0 et qu’aucune des options \fB\-www\fR ou \fB\-WWW\fR n’a été utilisée, alors normalement, toutes les données reçues du client sont affichées et n’importe quel appui de touche sera envoyé au client. .PP Certaines commandes d’une seule lettre sont aussi reconnues et réalisent des opération particulières : la liste est ci-dessous. .IP "\fBq\fR" 4 .IX Item "q" Terminer la connexion \s-1SSL\s0 actuelle mais continuer à accepter de nouvelles connexions. .IP "\fBQ\fR" 4 .IX Item "Q" Terminer la connexion \s-1SSL\s0 actuelle et quitter. .IP "\fBr\fR" 4 .IX Item "r" Renégocier la session \s-1SSL.\s0 .IP "\fBR\fR" 4 .IX Item "R" Renégocier la session \s-1SSL\s0 et demander un certificat client. .IP "\fBP\fR" 4 .IX Item "P" Envoyer du texte en clair dans la connexion \s-1TCP\s0 sous-jacente : cela devrait forcer le client à se déconnecter à cause d’une violation de protocole. .IP "\fBS\fR" 4 .IX Item "S" Afficher certains renseignements d’état sur le cache de session. .SH "NOTES" .IX Header "NOTES" \&\fBs_server\fR peut être utilisée pour déboguer les clients \s-1SSL.\s0 Pour accepter les connexions d’un navigateur web, la commande : .PP .Vb 1 \& openssl s_server \-accept 443 \-www .Ve .PP peut par exemple être utilisée. .PP La plupart des navigateurs web (en particulier Netscape et \s-1MSIE\s0) n’acceptent que les ensembles de chiffrements \s-1RSA,\s0 donc ne peuvent pas se connecter à des serveurs qui n’utilisent pas de certificat ne comportant pas de clef \s-1RSA\s0 ou à une version d’OpenSSL avec \s-1RSA\s0 désactivé. .PP Bien qu’indiquer une liste vide d’autorités de certification lors de la demande de certificat client est une violation de protocole au sens strict, certains clients \s-1SSL\s0 interprètent cela comme une indication que n’importe quelle autorité de certification est acceptable. C’est utile dans des buts de débogage. .PP Les paramètres de session peuvent être affichés en utilisant le programme \&\fBsess_id\fR. .SH "BOGUES" .IX Header "BOGUES" Puisque ce programme a beaucoup d’options, et aussi parce que certaines des techniques utilisées sont plutôt vieilles, le code source C de \fBs_server\fR est plutôt difficile à lire et n’est pas un exemple à suivre. Un programme serveur \s-1SSL\s0 typique serait beaucoup plus simple. .PP L’affichage des algorithmes de chiffrement communs est faux : il ne donne que la liste d’algorithmes de chiffrement reconnus par OpenSSL et pris en charge par le client. .PP Le programme \fBs_server\fR devrait pouvoir afficher des précisions sur tous les ensembles de chiffrements inconnus qu’un client prétend prendre en charge. .SH "VOIR AUSSI" .IX Header "VOIR AUSSI" \&\fBciphers\fR(1), \fBsess_id\fR(1), \&\fBs_client\fR(1) .SH "HISTORIQUE" .IX Header "HISTORIQUE" L’option \fB\-no_alt_chains\fR a été ajoutée à OpenSSL 1.0.2b. .SH "TRADUCTION" .IX Header "TRADUCTION" La traduction de cette page de manuel est maintenue par les membres de la liste . Veuillez signaler toute erreur de traduction par un rapport de bogue sur le paquet manpages-fr-extra.