Сurl 7.29 работает с tls v1.2?

Question

[hovdev]

Всем привет, есть один странный момент, читаю в документации что curl поддерживает протокол tls v1.2 с версии 7.34
--tlsv1.2
(TLS) Forces curl to use TLS version 1.2 or later when connecting to a remote TLS server.
Added in 7.34.0.

Но несмотря на это, когда я делаю запрос вида
curl --tlsv1.2 https://tlstest.paypal.com/

или через php
php -r '$ch = curl_init(); curl_setopt($ch, CURLOPT_URL, "https://tlstest.paypal.com/"); curl_setopt($ch, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1_2); var_dump(curl_exec($ch)); var_dump(curl_error($ch));'

Результат всегда успешный
PayPal_Connection_OK
bool(true)

Суть вопроса в том, 7.29 поддерживает подключение через tls v 1.2 или нет ?
Если нет, то почему это у меня работает ?
т.к если работает то я не буду обновлять и делать лишние действия на сервере.

Comments

[Radjah]

У вас какой-то очень старый дистр?
Я к тому, что в стабильном Debian 9 версия curl 7.52
В Debian 7 только 7.26, но он уже и не поддерживается вроде.

Answer 1

[ky0]

Вы скопипастили из мана ключ, который принудительно заставляет использовать TLS 1.2. Никто не говорит, что его поддержка была добавлена именно в этой версии. Ещё, разумеется, зависит от библиотеки, которая используется для работы с SSL.

Comments

[hovdev]

Меня смутила именно эта строка в документации
(TLS) Forces curl to use TLS version 1.2 or later when connecting to a remote TLS server.
Added in 7.34.0.

Я так понимаю это значит что по умолчанию будет использоваться TLS v1.2 в этой версии ?
а если в старой указать ключ то он будет тоже работать

Answer 2

[Владимир]

в консоли сервера сделайте curl -v https://tlstest.paypal.com/
ищите строчку "SSL connection using"
у меня например SSL connection using TLSv1.2 / ECDHE-RSA-AES128-GCM-SHA256
смотрите что у вас и все будет ясно.

Comments

[hovdev]

* About to connect() to tlstest.paypal.com port 443 (#0)
* Trying 23.14.118.187...
* Connected to tlstest.paypal.com (23.14.118.187) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
* CAfile: /etc/pki/tls/certs/ca-bundle.crt
CApath: none
* Server certificate:
* subject: CN=tlstest.paypal.com,OU=CDN Support,O="PayPal, Inc.",L=San Jose,ST=California,C=US,serialNumber=3014267,incorporationState=Delaware,incorporationCountry=US,businessCategory=Private Organization
* start date: Oct 04 00:00:00 2017 GMT
* expire date: Sep 27 12:00:00 2019 GMT
* common name: tlstest.paypal.com
* issuer: CN=DigiCert SHA2 Extended Validation Server CA,OU=www.digicert.com,O=DigiCert Inc,C=US
> GET / HTTP/1.1
> User-Agent: curl/7.29.0
> Host: tlstest.paypal.com
> Accept: */*
>
< HTTP/1.1 200 OK
< Content-Type: text/html
< Content-Length: 20
< Date: Fri, 21 Sep 2018 10:09:19 GMT
< Connection: keep-alive
<
* Connection #0 to host tlstest.paypal.com left intact
PayPal_Connection_OK

Вот вывод, про TLS строчки нет

[Владимир]

возможно в разных ОС или версиях curl разный вывод, но curl всеравно использует внешнею библиотеку скорее всего openssl (в обльшинстве linux дистрибутвах) и поддержка версий TLS в первую очередь зависит именно от нее, стоит посмотреть версию этой библиотеки и ее возможности.

[hovdev]

С openssl какраз таки все ок, версия та что надо
Версия библиотеки 1.0.1 которая поддерживая TLS v1.2

Вопрос именно в том, что надо ли мне curl обновлять для этого ?)

[Владимир]

По хорошему нужно обновлять все, если нет явных противопоказаний (для этого нужно читать чендж логи и или тестирывать все перед обновлением). Понятно что все ченджлоги для всего читать долго поэтому стоит читать их как минимум для критических сервисов например на хостинге это apache/nginx php mysql, Ну и глобально чтобы чтото сильно ломалось при обновлениях случай очень редкий + вернуться на предыдущую версию зачастую не проблема.(кроме случаев когда вы пару лет не обновлялись)