如何为Go服务器设置TLS密码

Question

我目前正在使用以下侦听和服务命令来运行安全的websocket/文件服务器：

http.ListenAndServeTLS(":443", "site.crt","site.key", router)

但是，我想将密码设置为TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256，并设置最低SSL/TLS版本。

我该怎么做？

我想我需要以某种方式使用这个Config结构，但我不确定如何做到这一点。

Answer 1

2015：您可以在secrpc/tls_server.go:中看到一个示例

tls.Listen("tcp", addr, &tls.Config{
    Certificates: []tls.Certificate{cert},
    CipherSuites: []uint16{
        tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
        tls.TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
    },
    MinVersion:               tls.VersionTLS12,
    PreferServerCipherSuites: true,
})

另请参阅go/issues/11047，获取使用ListenAndServeTLS的示例：一旦定义了Config，就定义了服务器：

server := &http.Server{Addr: ":4000", Handler: nil, TLSConfig: config}
server.L

---

在2021年，你也有"crypto/tls中的自动密码套件排序"；来自Filippo Valsorda：

最近发布的Go 1.17接管了所有Go用户的密码套件偏好排序。

虽然Config.CipherSuites仍然控制启用哪些TLS 1.0–1.2密码套件，但它不用于排序，Config.PreferServerCipherSuites现在被忽略。

相反，crypto/tls根据可用的密码套件、本地硬件和推断的远程硬件功能来做出所有排序决策。