Estaba mirando el protocolo de enlace TLS y noté que el cliente enviará su lista de suites de cifrado compatibles y que el servidor seleccionará una suite de cifrado. El servidor nunca envía su lista de suites de cifrado compatibles. ¿Cómo un cliente como SSLLabs conoce las suites de cifrado que admite el servidor? Además, noté que SSLLabs solo envía una solicitud al servidor.
En TLS, el cliente anuncia qué tipo de cifrados admite dentro de ClientHello y el servidor elige un cifrado de estos que también es compatible con el servidor. Mientras que uno no puede consultar los cifrados del servidor directamente desde el lado del cliente, simplemente puede tomar todos los cifrados conocidos, construir un ClientHello con cada uno de estos y verificar cómo reacciona el servidor a este ClientHello, es decir, si el servidor acepta el cifrado o no.
Al combinar de manera inteligente varios cifrados en ClientHello, uno puede acelerar este proceso y también determinar qué cifrados prefiere el servidor frente a otros (es decir, el orden de cifrado). Y eso es exactamente lo que SSLLabs está haciendo para determinar los cifrados y también para obtener versiones de protocolo SSL / TLS compatibles y otras características del servidor.
También noté que SSLLabs solo envía una solicitud al servidor.
Si observa el registro de acceso de su servidor web, solo verá las solicitudes HTTP (S). Pero, la mayoría de las pruebas realizadas por el escáner SSLLabs no dan como resultado una solicitud HTTP completada. En su lugar, ya se detienen en medio de un apretón de manos TLS. Estas solicitudes no se mostrarán en el registro de acceso del servidor web, pero las verá si está realizando una captura de paquetes.
Lea otras preguntas en las etiquetas cryptography tls cipher-selection