TLS Analyzer: mismatch and errors between nmap and testssl

[ikstream]

Below attached is the output of the same host:port combination first from testssl, followed by nmap. Some output is missing from each other. Especially the Chiffre-Präferenz is causing me troubles. the preference is actually server and it's reflected in the nmap.log and xml file, but isn't recognized properly. Maybe a bit more of processing would allow for the same checks as testssl performs on systems.

testssl

• Zertifikat nicht vertrauenswürdig: certificate does not match supplied URI (same w/o SNI)
• Zertifikat nicht vertrauenswürdig: chain incomplete
• anfällig für DoS-Angriff durch Client-initiierte TLS-Neuverhandlung
• potenziell anfällig für Lucky Thirteen: Verschlüsselungsalgorithmen im CBC-Modus
• Protokoll wird unterstützt: TLS 1.1
• Protokoll wird nicht unterstützt: TLS 1.3
• Chiffre-Präferenz: server
• Server scheint keine Cipher-Suites zu unterstützen
• Erweiterung wird nicht unterstützt: status_request

nmap

• Protokoll wird unterstützt: TLS 1.1
• Protokoll wird nicht unterstützt: TLS 1.3
• Chiffre-Präferenz: None
• unterstützte Cipher-Suite: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
• unterstützte Cipher-Suite: TLS_RSA_WITH_AES_128_CBC_SHA
• unterstützte Cipher-Suite: TLS_RSA_WITH_AES_128_CBC_SHA256
• unterstützte Cipher-Suite: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• unterstützte Cipher-Suite: TLS_RSA_WITH_AES_256_CBC_SHA
• unterstützte Cipher-Suite: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
• unterstützte Cipher-Suite: TLS_RSA_WITH_AES_256_CBC_SHA256
• unterstützte Cipher-Suite: TLS_RSA_WITH_AES_256_GCM_SHA384
• unterstützte Cipher-Suite: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
• unterstützte Cipher-Suite: TLS_RSA_WITH_AES_128_GCM_SHA256
• Schlüssel-Austausch: RSA
• Schlüssel-Austausch: Gruppe secp521r1
• Erweiterung wird nicht unterstützt: status_request

[Zeramo]

Without adding -t nmap to the command, the output will not show any supported cipher suites. The message "Server scheint keine Cipher-Suites zu unterstützen" will be printed instead.

[4elta]

thanks for your effort reporting these issues.

i was already aware of the fact that different tools (e.g. nmap, testssl, etc) were often reporting different things. but i wasn't aware that the parser for testssl seems to be no longer parsing the list of reported cipher suites as well as that the nmap parser does not parse cipher preference.

i am closing this issue as it contains multiple independent issue and will instead create separate issues for each.