Gus kontrol ssl hatası şifre çakışması yok. Mozilla Firefox'ta güvenli bağlantı kurarken oluşan bir hatayı düzeltme

Bir web uygulaması geliştiriyorum. Şu anda kendinden imzalı bir sertifika kullanıyorum (düzgün şekilde imzalanması daha sonra gelir).

Web sunucusunu yalnızca TLS1.1 ve TLS1.2'yi kabul edecek şekilde ayarladığımda, bir SSL_ERROR_NO_CYPHER_OVERLAP hatası alıyorum. bu bağlantılara izin vermez.

Web sunucusunda güvenli olmayan bağlantılara geçici olarak izin verirsem, Firefox sertifikayı kabul etmeme izin verir. Sertifika kabul edildikten sonra, Firefox yalnızca TLS1.1 ve TLS1.2 üzerinden bağlanabilir. Bu nedenle Firefox çoğu zaman TLS1.1/1.2 bağlantıları için ortak bir şifre bulabilir.

(Web sunucusu, OpenSSL1.0.1f ile bir Ubuntu çekirdeği üzerindedir.)

Bir web uygulaması geliştiriyorum. Şu anda kendinden imzalı bir sertifika kullanıyorum (düzgün şekilde imzalanması daha sonra gelir). Web sunucusunu yalnızca TLS1.1 ve TLS1.2'yi kabul edecek şekilde ayarladığımda, bir SSL_ERROR_NO_CYPHER_OVERLAP hatası alıyorum. bu bağlantılara izin vermiyor. Web sunucusunda güvenli olmayan bağlantılara geçici olarak izin verirsem, Firefox sertifikayı kabul etmeme izin verecek. Sertifika kabul edildikten sonra, Firefox yalnızca TLS1.1 ve TLS1.2 üzerinden bağlanabilir. Yani, Firefox çoğu zaman TLS1.1/1.2 bağlantıları için ortak bir şifre bulabilir. (Web sunucusu, OpenSSL1.0.1f ile bir Ubuntu çekirdeği üzerindedir.)

Seçilmiş çözüm

Sonunda ne olduğunu anladım.

Düzeltme gerçekten OpenSSL'yi yapılandırmada; ancak, Firefox sorunu en kolay görüntüleyen tarayıcı olduğundan, yanıtı buraya göndereceğim.

Her neyse, söz konusu olan OpenSSL'de desteklenen protokollere karşı desteklenen protokollerin ayrılmasıdır. şifre listesi.

OpenSSL kullanan bir uygulamada, OpenSSL 1.1.0'dan daha eski bir şey kullanıyorsanız, TLSv1'den daha eski olan tüm protokolleri devre dışı bırakmanız gerekir. Bunu şununla yapın:

SSL_CTX_set_options(ctx, SSL_OP_NO_SSLv2 | SSL_OP_NO_SSLv3);

(OpenSSL'nin 1.1.0 sürümünden önceki son sürümlerinin SSLv2'nin varsayılan olarak kapalı olduğunu unutmayın, ancak bu çağrıyla bunu açıkça devre dışı bırakmak zarar vermez. Ayrıca, TLSv1'i devre dışı bırakırsanız, bazı uygulamalarla uyumluluğu bozacağınızı da unutmayın. HTTPS çağrıları yapın; örneğin Firefox, oturum için daha güçlü protokollere geçmeden önce sertifika değişimini yapmak için TLSv1'i kullanıyor gibi görünmektedir).

SSL_NO_CYPHER_OVERLAP hatasını anlamanın anahtarı, TLSv1'in yalnızca SSLv3 şifrelerini kullanmasıdır.

Bu sorunla karşılaşıyordum çünkü SSLv3'ü devre dışı bıraktığımda SSLv3 şifrelerini de devre dışı bırakıyordum. OpenSSL şifrelerini ayarlamak için şunun gibi bir şey kullanın:

SSL_CTL_set_cipher_list(ctx, "TLSv1.2:TLSv1:SSLv3:!SSLv2:YÜKSEK:!ORTA:!DÜŞÜK");

Bunun yerine kullanırsanız (başlangıçta kullandığım gibi):

SSL_CTL_set_cipher_list(ctx, "TLSv1.2:TLSv1:!SSLv3:!SSLv2:YÜKSEK:!ORTA:!DÜŞÜK");

TLSv1'e özgü şifreler olmadığından (en azından OpenSSL'de) TLSv1'i etkin bir şekilde devre dışı bırakacaksınız ve SSLv3 şifreleri devre dışı bırakıldığında, TLSv1 bağlantısı kurmak mümkün değil.

SSLv3 devre dışı ancak TLSv1/SSLv3 şifreleri etkin durumdayken, Firefox sertifikaları alabilir. Bundan sonra Firefox'un TLSv1.2 bağlantısı kurduğunu görüyorum.

OpenSSL 1.1.0 için yukarıdaki çözümün çoğu gerekli değildir, çünkü SSLv3 için hiçbir desteği yoktur.

Bu yanıtı bağlam 4'te okuyun

Soru sahibi

Cevabın için teşekkürler.

Ne yazık ki, bir güvenlik duvarının arkasında geliştiriyorum, bu nedenle söz konusu site onu tarayamaz.

Firefox'un hangi şifreleri denediğini öğrenmenin bir yolu var mı?

(Firefox'a güvenliği geçici olarak azaltarak sertifikayı kabul ettirirsem, Firefox'un daha sonra yüksek güvenlikli bir şifre üzerinde anlaşabilmesi hala garip görünüyor.)

Cevabın için teşekkürler. Ne yazık ki, bir güvenlik duvarının arkasında geliştiriyorum, bu nedenle söz konusu site onu tarayamaz. Firefox'un hangi şifreleri denediğini öğrenmenin bir yolu var mı? (Firefox'a güvenliği geçici olarak azaltarak sertifikayı kabul ettirirsem, Firefox'un daha sonra yüksek güvenlikli bir şifre üzerinde anlaşabilmesi hala garip görünüyor.)

Daha düşük güvenliğe izin verirseniz Firefox hangi bağlantı ayarlarını kullanır?

Bunu, Ağ İzleyicisi'ndeki Güvenlik sekmesinden kontrol edebilirsiniz.

Daha düşük güvenliğe izin verirseniz Firefox hangi bağlantı ayarlarını kullanır? Bunu, Ağ İzleyicisi'ndeki Güvenlik sekmesinden kontrol edebilirsiniz. *https://developer.mozilla.org/Tools/Network_Monitor

Soru sahibi

Doğru yeri tam olarak tıklayıp tıklamadığımı bilmiyorum.

Ağ İzleyicisi açıkken, GET isteğini tıklarsam, güvenlik sekmesi yalnızca güvenlik sertifikasının geçersiz olduğunu söylüyor (geçersiz olduğu için bunu bekliyorum).

Sunucuda farklı güvenlik ayarlarıyla denemeler yaparken, "geçersiz sertifika" aldığımda SSLv3 kullanıyor, sunucuyu yalnızca TLS için ayarlarsam "şifre çakışması yok" alıyorum (görmeme rağmen) güvenlik sekmesinde bir SSLv3 uyarısı).

about:config'e gidip security*ssl'de arama yaparsam, listede çok sayıda etkin şifre görüyorum. Security*tls'de arama yaparsam, listelenmiş herhangi bir şifre göremiyorum.

Ekran görüntülerini ekledim. Web sunucumda SSLv3'ü devre dışı bıraktığımda "şifre çakışması olmayan" olanı ve web sunucumda SSLv3'ü etkinleştirdiğimde "bilinmeyen veren" olanı alıyorum.

(Hem Chrome hem de IE bana "geçersiz sertifika" hatası veriyor, ancak aksi halde bağlanacaklar.)

Doğru yeri tam olarak tıklayıp tıklamadığımı bilmiyorum. Ağ İzleyicisi açıkken, GET isteğini tıklarsam, güvenlik sekmesi yalnızca güvenlik sertifikasının geçersiz olduğunu söylüyor (geçersiz olduğu için bunu bekliyorum). Sunucuda farklı güvenlik ayarlarıyla denemeler yaparken, "geçersiz sertifika" aldığımda SSLv3 kullanıyor, sunucuyu yalnızca TLS için ayarlarsam "şifre çakışması yok" alıyorum (görmeme rağmen) güvenlik sekmesinde bir SSLv3 uyarısı). Eğer about:config'e gidip security*ssl'de arama yaparsam, listede çok sayıda etkin şifre görüyorum. Ekran görüntülerini ekledim. Web sunucumda SSLv3'ü devre dışı bıraktığımda "şifre çakışması olmayan" olanı ve web sunucumda SSLv3'ü etkinleştirdiğimde "bilinmeyen veren" olanı alıyorum. ( Hem Chrome hem de IE bana "geçersiz sertifika" hatası veriyor, ancak aksi halde bağlanacaklar.)

18 Mayıs 2016 09:55:13 PDT'de gshonle tarafından değiştirildi

Soru sahibi

Bir tcpdump izlemesi yaptım; 10.1.233.67, Firefox çalıştıran sistemdir; 10.1.85.41, Linux sunucusudur. Ekli resme bakın.

Linux OpenSSL tarafından desteklenen TLSv1.2 şifreleri şunlardır:

ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES256-SHA384 DHE-DSS-AES256-GCM-SHA384 DHE-RSA-AES256-GCM-SHA384 DHE-RSA-AES256-SHA256 DHE-DSS-AES256-SHA256 ECDH-RSA-AES256-GCM-SHA384 ECDH-ECDSA-AES256-GCM-SHA384 ECDH-RSA-AES256-SHA384 ECDH-ECDSA-AES256-SHA384 AES256-GCM - SHA384 AES256-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-RSA-AES128-SHA256 ECDHE-ECDSA-AES128-SHA256 DHE-DSS-AES128-GCM-SHA256 DHE-RSA- AES1 28 -GCM-SHA256 DHE-RSA-AES128-SHA256 DHE-DSS-AES128-SHA256 ECDH-RSA-AES128-GCM-SHA256 ECDH-ECDSA-AES128-GCM-SHA256 ECDH-RSA-AES128-SHA256 ECDH-ECDSA-AES128-SHA25 6 AES128-GCM-SHA256 AES128-SHA256

Yani, neredeyse örtüşüyor gibi görünüyorlar ...

Bir tcpdump izlemesi yaptım; 10.1.233.67, Firefox çalıştıran sistemdir; 10.1.85.41, Linux sunucusudur. Ekli resme bakın. Linux OpenSSL tarafından desteklenen TLSv1.2 şifreleri şunlardır: ECDHE-RSA-AES256-GCM-SHA384 -GCM-SHA384 DHE-RSA-AES256-GCM-SHA384 DHE-RSA-AES256-SHA256 DHE-DSS-AES256-SHA256 ECDH -RSA-AES256-GCM-SHA384 ECDH-ECDSA-AES256-GCM-SHA384 ECDH-RSA-AES256 -SHA384 ECDH-ECDSA-AES256-SHA384 AES256-GCM-SHA384 AES256-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE- ECDSA-AES128-GCM-SHA256 ECDHE-RSA-AES128-SHA256 ECDHE-ECDSA-AES1 28-SHA256 DHE -DSS-AES128-GCM-SHA256 ECDH-RSA-AES128-GCM-SHA256 ECDH-ECDSA-AES128-GCM-SHA256 ECDH -RSA-AES128-SHA256 ECDH-ECDSA-AES128-SHA256 AES128-GCM-SHA256 AES128-SHA256 Yani neredeyse örtüşüyorlar...

SSL el sıkışması beni aşıyor ama iki şey var:

(1) Firefox'un son sürümleri hiçbir koşulda SSLv3'ü protokol. Desteklenen en düşük protokol TLS 1.0'dır.

(2) about:config içinde, tercih adları şifreler ssl3 içerir, ancak bu tarihi bir eserdir ve protokol bu kullanılır. TLS bağlantılarında kullanılabilmesi için bu şifrelerin etkinleştirilmesi gerekir.

Logjam sorunuyla ilişkili oldukları için false olarak ayarlamanızı önerdiğim iki şifre var:

güvenlik.ssl3.dhe_rsa_aes_128_sha güvenlik.ssl3.dhe_rsa_aes_256_sha

Bazı kullanıcılar iki RC4 şifresini de yanlış olarak ayarlamayı tercih edebilir, ancak bu, eski Microsoft IIS sunucularında sorunlara neden olabilir.

Bu şifreleri kullanarak güvenli bir şekilde bağlanabilmelisiniz (listeniz => Firefox tercih adınız):

ECDHE-RSA-AES128-GCM-SHA256 => güvenlik.ssl3.ecdhe_rsa_aes_128_gcm_sha256

ECDHE-ECDSA-AES128-GCM-SHA256 =>

SSL anlaşması beni aşar, ancak iki şey: (1) Firefox'un son sürümleri hiçbir koşulda SSLv3'ü bir ""protokol"" olarak kullanmaz. Desteklenen en düşük protokol TLS 1.0'dır. (2) about:config'de "şifreler" için tercih adları ssl3 içerir, ancak bu tarihi bir eserdir ve kullanılan ""protokol"" üzerinde hiçbir etkisi yoktur. TLS bağlantılarında kullanılabilmesi için bu şifrelerin etkinleştirilmesi gerekir. Logjam sorunuyla ilişkili oldukları için false olarak ayarlamanızı önerdiğim iki şifre var: security.ssl3.dhe_rsa_aes_128_sha security.ssl3.dhe_rsa_aes_256_sha Bazı kullanıcılar iki RC4 şifresini de false olarak ayarlamayı tercih edebilir, ancak bu, eski Microsoft IIS sunucuları. Bu şifreleri (listeniz => Firefox tercih adı) kullanarak güvenli bir şekilde bağlanabilmelisiniz: ECDHE-RSA-AES128-GCM-SHA256 => security.ssl3.ecdhe_rsa_aes_128_gcm_sha256 ECDHE-ECDSA-AES128-GCM-SHA256 => security.ssl3 .ecdhe_ecdsa_aes_128_gcm_sha256

Soru sahibi

Firefox'ta hem security.ssl3.ecdhe_rsa_aes_128_gcm_sha256 hem de security.ssl3.ecdhe_ecdsa_aes_128_gcm_sha256 etkinleştirildi (her şey için varsayılan ayarları kullanıyorum).

Yani... Hala neler olup bittiği konusunda şaşkın...

Hem security.ssl3.ecdhe_rsa_aes_128_gcm_sha256 hem de security.ssl3.ecdhe_ecdsa_aes_128_gcm_sha256 Firefox'ta etkinleştirildi (her şey için varsayılan ayarları kullanıyorum). Yani... Hâlâ neler olup bittiği konusunda şaşkınım...

sonraki yazıya bak

""Bir sonraki gönderiye bakın"" Son ekran görüntünüze ("Müşteri Merhaba") baktığımda biraz şaşırdım. Bu, istemci makinenin şifre listesi mi? Firefox'un listesiyle eşleşmiyor -- özellikle, bildiğim kadarıyla Firefox, listelenenlerin neredeyse tamamını içeren hiçbir CBC şifresini desteklemiyor. İstemcide Firefox'un önünde bir proxy'niz var mı?

18 Mayıs 2016 11:47:47 PDT'de jscher2000 tarafından değiştirildi

Hata, bu siteye dayanarak yanılmışım: https://www.ssllabs.com/ssltest/viewMyClient.html -- CBC, about:config içinde görünmeseler bile oradaki birkaç şifre adında görünüyor.

Şifre Paketleri (tercih sırasına göre) TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xc02b) İletim Gizliliği 128 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) İletim Gizliliği 128 TLS_ECDHE_ECDSA_WITH_AES_256_ CBC _SHA (0xc00a) İletim Gizliliği 256 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009) İletim Gizliliği 128 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) İletim Gizliliği 128 TLS_ECDHE_RSA_WITH_AES_ 256 _CBC_SHA (0xc014) İleri Gizlilik 256 TLS_RSA_WITH_AES_128_CBC_SHA (0x2f) 128 TLS_RSA_WITH_AES_256_CBC_SHA (0x35) 256 TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa) 112

Bu ikisi, daha önce de belirtildiği gibi devre dışı bıraktığım için normal listemde görünmüyor:

TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x33) İletim Gizliliği 128 TLS_DHE_RSA_WITH_AES_256_CBC_SHA (0x39) İletim Gizliliği 256

Bunlarla Müşteri Merhaba'da gördüğünüz gibi 11 tane var.

Hata, bu siteye dayanarak yanılmışım: https://www.ssllabs.com/ssltest/viewMyClient.html -- CBC, about:config içinde görünmeseler bile oradaki birkaç şifre adında görünüyor. Cipher Suites (tercih sırasına göre) TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xc02b) İletim Gizliliği 128 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) İletim Gizliliği 128 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_S HA (0xc00a) İletim Gizliliği 256 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009) İletim Gizliliği 128 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) İletim Gizliliği 128 TLS_ECDHE_RSA_WITH_AES_256_ CBC_ SHA (0xc014) İletme Gizliliği 256 TLS_RSA_WITH_AES_128_CBC_SHA ( 0x2f) 128 TLS_RSA_WITH_AES_256_CBC_SHA (0x35) 256 TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa) 112 Bu ikisi, daha önce belirtildiği gibi devre dışı bıraktığım için normal listemde görünmüyor: TLS_DHE_RSA_WITH_AES_ 128_CBC_SHA (0x33) İletim Gizliliği 128 TLS_DHE_RSA_WITH_AES_256_CBC_SHA (0x39) İletim Gizliliği 256 Olanlarla , İstemci Merhaba'da gördüğünüz gibi 11 tane var.

Soru sahibi

Hello Client paketi, Firefox çalıştıran sistem tarafından gönderilen pakettir; Firefox bağlantıyı denediğinde gönderildi.

Tekrar kontrol ettim ve Firefox'un önünde bir proxy'm yok.

Alice'den alıntı yapacak olursak: Daha meraklı ve daha meraklı...

Hello Client paketi, Firefox çalıştıran sistem tarafından gönderilen pakettir; Firefox bağlantıyı denediğinde gönderildi. İki kez kontrol ettim ve Firefox'un önünde bir proxy'im yok.Alice'ten alıntı yapacak olursak: Meraklı ve meraklı...

Soru sahibi

Evet, OpenSSL 1.0.1f Ocak 2014'ten ve daha yeni bir sürüme geçmeyi tercih ederim. Ne yazık ki, şu anki plan daha yeni bir OpenSSL'ye geçmemek (benim tercihim değil).

Bir sonraki adımda herhangi bir fikir var mı?

Evet, OpenSSL 1.0.1f, Ocak 2014'ten ve daha yeni bir sürüme geçmeyi tercih ederim. Ne yazık ki, mevcut plan şu anda daha yeni bir OpenSSL'ye geçmemek (benim seçimim değil). Sonraki adım?

"(Güvenli değil) Yüklemeyi deneyin" bağlantısını tıklarsanız ne olur?

Kötü sertifikayı da geçersiz kılmanız gerekiyorsa, geçici bir istisnayı kabul edin.

Ardından, güvenli bir bağlantıya sahip olduğunuzu varsayarak, Sayfa Bilgileri iletişim kutusunda, güvenlik panelinde aşağıda listelenen protokolü ve şifreyi kontrol edin ve bunları kullanarak görüntüleyebilirsiniz:

sayfanın boş bir alanını sağ tıklayın (Mac'te Ctrl+tıklama) ve Sayfa Bilgilerini Görüntüle > Güvenlik'i seçin
(menü çubuğu) Araçlar > Sayfa Bilgileri > Güvenlik
asma kilide veya adres çubuğundaki "i" simgesine, ardından ">" düğmesine ve ardından Daha Fazla Bilgi'ye tıklayın

Orada kullanımda olarak ne gösteriyor?

"(Güvenli değil) Yüklemeyi deneyin" bağlantısını tıklarsanız ne olur? Kötü sertifikayı da geçersiz kılmanız gerekiyorsa, geçici bir istisnayı kabul edin. Ardından, güvenli bir bağlantı kurduğunuzu varsayarak, Sayfa Bilgileri iletişim kutusunda, güvenlik panelinde aşağıya doğru listelenen protokolü ve şifreyi kontrol edin ve aşağıdakileri kullanarak görüntüleyebilirsiniz: * sağ tıklayın (Mac'te Ctrl+tıklama) boş bir alan sayfaya gidin ve Sayfa Bilgilerini Görüntüle > Güvenlik * (menü çubuğu) Araçlar > Sayfa Bilgileri > Güvenlik *'i seçin, asma kilide veya adres çubuğundaki "i" simgesine, ardından ">" düğmesine ve ardından Daha Fazla Bilgi Kullanımda görünenler Orası?

Soru sahibi

(Güvenli değil) bağlantısını tıklarsam ne olacağını görmek için eke bakın. Sunucum SSLv3 kullanmayacak şekilde ayarlandığından, Firefox bağlanamıyor.

Sunucumda SSLv3'ü geçici olarak etkinleştirirsem, geçersiz sertifikayı kabul edebilirim. Ardından, bağlantı TLS 1.2 kullanır (Şifre TLS_RSA_WITH_AES_128_CBC_SHA, 128 bit anahtardır). (Sertifikayı kalıcı olarak kabul edersem, sunucumda SSLv3 devre dışı olsa bile her zaman hemen bağlanabilirim.)

(Güvenli değil) bağlantısını tıklarsam ne olacağını görmek için eke bakın. Sunucum SSLv3 kullanmayacak şekilde ayarlandığından Firefox bağlanamıyor. Sunucumda SSLv3'ü geçici olarak etkinleştirirsem geçersiz sertifikayı kabul edebilirim. Ardından, bağlantı TLS 1.2 kullanır (Şifre TLS_RSA_WITH_AES_128_CBC_SHA, 128 bit anahtarlardır). ( Sertifikayı kalıcı olarak kabul edersem, sunucumda SSLv3 devre dışı olsa bile her zaman hemen bağlanabilirim.)

Bunun SSLv3 ile bir ilgisi olduğunu düşünmüyorum çünkü Firefox 46 hiçbir koşulda SSLv3'ü desteklemiyor.Sunucuda SSLv3'ü etkinleştirdiğinizde, bunun aynı zamanda başka bir şeyi değiştirmesi gerektiğini düşünüyorum.

Aldığınız hata, sunucunun TLS1.2'den daha düşük bir protokole düşürmeye çalıştığını belirten SSL_ERROR_INAPPROPRIATE_FALLBACK_ALERT idi. Bu, tanımladığınızdan pek mantıklı gelmiyor, ancak RC4 şifrelerinde görülebilir.

Her neyse, OpenSSL'nin bu eski sürümünde daha fazla sorun gidermenin anlamı yok.

Bunun SSLv3 ile bir ilgisi olduğunu düşünmüyorum çünkü Firefox 46 hiçbir şekilde SSLv3'ü desteklemiyor.Sunucuda SSLv3'ü etkinleştirdiğinizde bunun aynı anda başka bir şeyi değiştirmesi gerektiğini düşünüyorum.Aldığınız hata SSL_ERROR_INAPPROPRIATE_FALLBACK_ALERT idi, bu da sunucunun TLS1.2'den daha düşük bir protokole düşürmeye çalıştığını gösteriyordu. Bu, tanımladığınızdan pek mantıklı gelmiyor, ancak RC4 şifrelerinde görülebilir. Her neyse, OpenSSL'nin bu eski sürümünde sorun gidermenin bir anlamı yok daha fazla

Soru sahibi

Üzerinde çalıştığım ürün, tüm ürünün bir parçası olarak bir web sunucusuyla birlikte gömülü bir Linux sistemine sahip. Standart donanım üzerinde çalışmadığı için, kullanabileceğimiz Linux dağıtımlarıyla sınırlıyız. Bu dağıtım için en son OpenSSL deb paketi 1.0.1f'dir. Bu tartışmanın kapsamı dışındaki nedenlerden dolayı, yalnızca deb paketleri olan güncellemeleri kullanıyoruz.

Bu nedenle, ne yazık ki, Firefox kullanmamak için yalnızca Chrome ve IE'nin desteklendiğini belgelememiz gerekecek gibi görünüyor.

24 Mayıs 2016 13:07:42 PDT'de gshonle tarafından değiştirildi

Yararlı Yanıt

Ürününüzün Firefox ile güvenli bir bağlantı kuramamasından nihai olarak sorumlu tutulacakları için bunu tedarikçinizin dikkatine sunabilirsiniz.

Ürününüz için geçerli olup olmadığından emin değilim, ancak bazı web siteleri için bu tercihe bir ana bilgisayar adı ekleyerek geri dönüşü etkinleştirebilirsiniz:

(1) Yeni bir sekmede yazın veya yapıştırın hakkında: yapılandırma adres çubuğunda ve Enter/Return tuşuna basın. Dikkatli olmayı vaat eden düğmeyi tıklayın.

(2) Listenin yukarısındaki arama kutusuna yazın veya yapıştırın TLS ve liste filtrelenirken duraklatın

(3) çift tıklayın security.tls.insecure_fallback_hosts tercih ve:

(A) Boşsa, ana bilgisayar adını yazın veya yapıştırın ve Tamam'ı tıklayın.

(B) Bir veya daha fazla başka ana bilgisayar adı zaten listelenmişse, sonuna gitmek için Bitir tuşuna basın, bir virgül yazın, ardından ek ana bilgisayar adını yazın veya yapıştırın ve Tamam'ı tıklayın.

Ürününüzün Firefox ile güvenli bir bağlantı kuramamasından nihai olarak sorumlu tutulacakları için bunu tedarikçinizin dikkatine sunabilirsiniz. Ürününüz için geçerli olup olmadığından emin değilim, ancak bazı web siteleri için bu tercihe bir ana bilgisayar adı ekleyerek geri dönüşü etkinleştirebilirsiniz: (1) Yeni bir sekmeye """about:config" yazın veya yapıştırın. Adres çubuğunda "" öğesini seçin ve Enter/Return tuşuna basın. Dikkatli olmayı vaat eden düğmeyi tıklayın. (2) Listenin üzerindeki arama kutusuna """TLS""" yazın veya yapıştırın ve liste filtrelenirken bekleyin (3) """security.tls.insecure_fallback_hosts""" tercihini çift tıklayın ve : (A) Boşsa, ana bilgisayar adını yazın veya yapıştırın ve Tamam'ı tıklayın (B) Bir veya daha fazla başka ana bilgisayar adı zaten listelenmişse, sonuna gitmek için Bitir tuşuna basın, bir virgül yazın ve ardından şunu yazın veya yapıştırın: ek ana bilgisayar adı ve Tamam'a tıklayın

Soru sahibi

Ana bilgisayarı insecure_fallback_hosts'a eklersem, şimdi şunu alıyorum: "İstemci, sunucunun desteklediğinden daha düşük bir TLS sürümüne geçtiği için sunucu el sıkışmayı reddetti. Hata kodu: SSL_ERROR_INAPPROPRIATE_FALLBACK_ALERT"

Sunucu şu anda TLSv1.2, TLSv1.1 ve TLSv1 için yapılandırılmıştır.

Ana bilgisayarı insecure_fallback_hosts'a eklersem, şimdi şunu alıyorum: "İstemci, sunucunun desteklediğinden daha düşük bir TLS sürümüne düşürüldüğü için sunucu el sıkışmayı reddetti. Hata kodu: SSL_ERROR_INAPPROPRIATE_FALLBACK_ALERT" Sunucu şu anda TLSv1.2, TLSv1 için yapılandırılmış. 1 ve TLSv1.

Forum gönüllüsü, TLS1.1 ve TLS1.0'ı destekleyen ancak TLS1.2'yi desteklemeyen sunucuya bağlanırken geri dönüş hatasını çoğaltabilir

Geri dönüş hata mesajına neden olan güvenlik duvarı yapılandırma sorunu

Sunucu RC4 şifrelerini tercih ediyor (Firefox 36+'da sorun):

Çözüldü mü belli değil

BitDefender olası suçlu

BitDefender suçluydu

TLS 1.0, her iki tarafta da en düşük TLS'dir, bu nedenle bu hatanın bir anlamı yoktur. Orada neler olup bittiğini gerçekten bilmiyorum.Kullanıcıların bildirdiği diğer sunucular gibi davranmıyor (burada yayınlanan her şeyi okuyabildiğimden değil)..] - forum gönüllüsü, TLS1.1'i destekleyen sunucuya bağlanırken geri dönüş hatasını çoğaltabilir ve TLS1.0, ancak TLS1..0.2 değil] - geri dönüş hata mesajına neden olan güvenlik duvarı yapılandırma sorunu Sunucu RC4 şifrelerini tercih ediyor (Firefox 36+'da sorun): - çözülüp çözülmediği belirsiz - BitDefender olası suçlu - BitDefender suçluydu

Bunun nasıl bir etkisi olduğunu görmek için security.tls.version.min değerini geçici olarak 2'ye (veya 3'e) yükseltmeyi deneyebilirsiniz.

Bir siteye bağlanmaya çalışırken, kullanıcı bir ssl_error_no_cypher_overlap hata mesajı alabilir. Bu yazıda size bu hata kodunun ne olduğunu anlatacağım, oluşma nedenlerini açıklayacağım ve ayrıca PC'nizdeki ssl_error_no_cypher_overlap hatasını nasıl düzelteceğinizi anlatacağım.

Bu SSL hatası nedir?

ssl_error_no_cypher_overlap hatasının anlatımından da anlaşılacağı gibi bazı siteler belirli şifreleme protokollerini (no_cypher_overlap) desteklemediğinde bu sorun ortaya çıkmaktadır. Genellikle, günümüzde bağlantının genel güvenliğini ve iletilen verilerin güvenliğini en üzücü şekilde etkileyebilecek SSL sürüm 3.0 protokolünün (1996'da yeniden oluşturulmuş) site tarafından kullanılmasından bahsediyoruz.

TLS protokollerinde somutlaştırılan SSL protokolünün daha da geliştirilmesinden sağ çıkmasına rağmen, bazı siteler hala kullanıcıların eski SSL'yi kullanmasını istemeye devam ediyor. Bu nedenle, tarayıcınızda SSL'nin etkinleştirilmesi ve kullanılması riski ve sorumluluğu size ait olmak üzere tarafınızca yapılacaktır.

Tarayıcıdaki bir hatanın nedenleri

Daha önce de belirtildiği gibi, SSL Hatası hatasının oluşmasının ana nedeni, site tarafından eski bir protokolün kullanılmasıdır ve ağ İnternet bağlantısını engelleyen veya değiştiren virüs ve antivirüs programlarının etkinliği de soruna neden olabilir.

Aynı zamanda, söz konusu hata çoğunlukla Mozilla Firefox tarayıcısında (özellikle 34 numaralı güncellemeden sonra) düzeltilir, diğer tarayıcılarda ise oldukça nadirdir.

ssl_error_no_cypher_overlap hatası nasıl düzeltilir

Söz konusu hatayı düzeltmeye yönelik yöntemlerin listesi aşağıdadır:

Bilgisayarı yeniden başlatın. Bu klişe tavsiye bazen yardımcı olur;
Güvenilir bir antivirüs ile bilgisayarınızda virüs olup olmadığını kontrol edin;
Virüsten koruma ve güvenlik duvarınızı geçici olarak devre dışı bırakmayı deneyin ve ardından sorunlu siteyi ziyaret etmeyi deneyin;
Farklı bir tarayıcı kullanın. Bu hata en sık Firefox'ta meydana geldiğinden, tarayıcıyı değiştirmek sorunu çözebilir;
Firefox ayarlarınızı değiştirin. Bunu yapmak için Mozilla'nızda yeni bir pencere açın, adres çubuğuna about:config yazın ve enter tuşuna basın. Riski kabul ettiğinizi onaylayın ve ardından arama çubuğuna security.tls.version yazın. Birkaç değerden sonuç aldıktan sonra security.tls.version.fallback-limit ve security.tls.version.min parametrelerinin değerini 0 olarak değiştirin. Bu yeniliklerden sonra sorunlu siteyi tekrar ziyaret etmeyi deneyin, yüklenmesi gerekir.
https'yi devre dışı bırakın. Talimat.

Çözüm

ssl_error_no_cypher_overlap sorununun en yaygın nedeni, bazı sitelerin kullandığı eski SSL şifreleme protokolüdür. Fox kullanıyorsanız, yukarıda belirtildiği gibi bazı tarayıcı ayarlarının değerini değiştirin, diğer durumlarda, tarayıcıyı değiştirmenin yanı sıra virüsten koruma ve güvenlik duvarını geçici olarak devre dışı bırakmak yardımcı olabilir.

Modern tarayıcılar gerçekten etkili antivirüs özelliklerine sahiptir. Çeşitli üçüncü taraf programları olmasa bile, bilgisayarınızı casus yazılım Truva atlarından koruyabilirler. Bununla birlikte, kullanıcıların güvenilir İnternet sayfalarının sebepsiz yere engellenmesi tam da bu tür aşırı önlemler nedeniyledir. Bu kilitlerden biri "ssl_error_no_cypher_overlap". Dünden başka bir iyi site (örneğin, zakupki.gov) aniden yüklemeyi durduruyor. Bu, Firefox ve Internet Explorer'da çok yaygındır.

Hatanın nedenleri

Hatanın kendisinden, SSLv3 protokolünün artık desteklenmediğini ve bu güvenlik derecesi olmadan tarayıcının bağlantı kuramayacağını anlayabilirsiniz. Yani, hiç kimse güvenliğinize kefil olamaz, bu nedenle en iyi çözüm İnternet bağlantınızı bloke etmektir.

Mozilla Firefox'ta "ssl_error_no_cypher_overlap" hata kodu

Bunun nedeni, Firefox tarayıcısını en son sürüme güncellemektir, bilinmeyen nedenlerle, sürüm 34'ten itibaren şüpheli SSL'leri bağlarken çok kızmaya başlar. Tarayıcı, ziyaret edilen kaynakta kullanıcı hakkında bilgi toplayabilen bazı eklentiler, komut dosyaları ve saldırıya uğramış güvenlik protokolleri bulur ve web sitesine erişimi engeller. Bir başka olası sorun, sisteminizde çalışan bir virüsten koruma yazılımı veya bir Truva Atı'dır (tarayıcı korsanlığı).

Bir bağlantı hatasını düzeltme

Anı virüslü bir PC ile kaldıracağımızı hemen not edeceğim, kullanıcının sistemi sürekli olarak antivirüsler ve kötü amaçlı yazılım tarayıcıları ile taraması gerekir. Korsanlarla iyi savaşır - örneğin AdwCleaner.

Bu nedenle, başlamak için hızlı bir çözüm için basit ipuçlarını belirteceğiz:

Firefox'u kullanarak tüm çerezleri, önbelleği ve geçmişi temizleyin.
İşletim sisteminin korumasını ve bununla birlikte antivirüs ekranını bir süreliğine devre dışı bırakın.
Önce Firefox'u kaldırarak ve bilgisayarınızı yeniden başlatarak farklı bir tarayıcı kullanın.
Hosts dosyasını Microsoft'tan önerilen dosyayla değiştirin. Şirketin resmi sayfasında bulabilirsiniz.

Firefox ayarlarını değiştir

Daha zor bir seçenek, tarayıcı ayarlarını değiştirmektir. Kök menüsüne gitmeli ve birkaç gerekli öğeyi değiştirmelisiniz:

Firefox'ta yeni bir sayfa açalım. Arama sütununa kayıt oluyoruz: about: config

Birkaç noktadan sadece ikisini seçiyoruz: security.tls.version.fallback-limit Ve security.tls.version.min

Sıfır değerler ayarlayarak tarayıcıyı savunmasız hale getirdiğinizi unutmayın, bu nedenle hemen tüm değerleri geri döndürmeye çalışın. Ve site yöneticisinin sorunu belirtmesi arzu edilir.

Bu, çoğu durumda tarayıcıdaki ssl_error_no_cypher_overlap hata kodunu düzeltmeye yardımcı olur. Ancak çok önemli bir noktayı dikkate almalısınız, artık kötü amaçlı yazılımlardan daha az korunuyorsunuz. Bu nedenle, bu sitenin bilgisayarınıza virüs programları bulaştırma riskindeki artışa değip değmeyeceğini defalarca düşünmek daha iyidir. Tarayıcıyı değiştirmek veya İnternette başka bir kaynak bulmak daha kolay olabilir.

Bir kişi sürekli olarak internette vakit geçirerek, çeşitli kötü amaçlı programlar tarafından kullanılan ekipmana bulaşma olasılığını artırır. Şaşırtıcı olmayan bir şekilde, bugün bu tür sıkıntılardan korunmanın birçok yolu var.

Ortalama bir kullanıcının bilgisayarı, sistemin kendisinde yerleşik olan özel bir yazılım, bir virüsten koruma programı ve tarayıcıların kendilerinin kullandığı özel güvenlik protokolleri ile korunur. Ne yazık ki, ancak bazen ekranda ssl hatası yok şifre çakışması hatasının görünmesine neden olabilecek son seçenektir.

Gerçekten iyi ve güvenli bir kaynağı ziyaret etmeye çalışırken hata kodu ssl hatası şifre çakışması olmadığında özellikle hayal kırıklığı yaratıyor.
Doğal olarak şu soru ortaya çıkıyor - nasıl yaşanır ve ne yapılır?

Bu durum neden mümkün?

Kullanıcı ağa erişmek için Firefox İnternet tarayıcısını kullanıyorsa, neredeyse her zaman böyle bir sıkıntı gözlemlenir.

34+ sürümüne güncellenen bir program, herhangi bir nedenle, sitelerde kullanılan SSLv3 protokolünü kabul etmeyi durdurabilir ve bu nedenle ona erişimi yasaklayabilir.

Ayrıca, bazen bilgisayarda çalışan bir virüsten koruma programı veya ihmal sonucu girilen bir Truva atı da olası bir kök neden olabilir.

Şifre çakışması yok ssl hatası nasıl düzeltilir? Başlangıçta, aşağıdaki talimatların kullanılması tavsiye edilir:

Truva atlarını iyi işleyen etkili bir yazılım kurun. Örneğin, AdwCleaner veya eşdeğerini deneyebilirsiniz.
Erişim verilip verilmediğini kontrol etmek için etkilenen virüsten koruma yazılımını geçici olarak devre dışı bırakın.
Alternatif bir İnternet tarayıcısına gidin ve daha önce kesintiye uğrayan işlemi gerçekleştirmek için kullanmayı deneyin. Bu durumda, Firefox'u tamamen kaldırmanız ve bundan sonra bilgisayarı yeniden başlattığınızdan emin olmanız şiddetle tavsiye edilir.
Geçmişi, çerezleri ve önbelleği temizlemek için internet tarayıcınızın ayarlarına gidin.

PC sahibi, bugün mevcut olan tarayıcılar için diğer seçeneklere geçmeyi kategorik olarak reddediyorsa ve yukarıdaki noktalardan hiçbiri istenen sonucu getirmediyse, düzeltmenin başka bir yolu vardır - Firefox ayarlarında değişiklik yapmak:

Bu yazılımın ana sayfasını etkinleştirin.
"about: config" sürmek istediğiniz programın arama satırına gidin.
Yapılan değişikliklerin sorumluluğunu üstlenerek diğer eylemleri kabul edin.
Ekranda oldukça etkileyici bir liste belirdikten sonra, içine “security.tls.version” yazarak yerleşik arama özelliklerini bir kez daha kullanın.
Önerilen tüm seçeneklerden yalnızca ikisinde durun: "security.tls.version.min" ve "security.tls.version.fallback-limit".
Bunlara tek tek sağ tıklayarak “Değiştir” önerisine gidin. Sayısal değerleri "0" olarak ayarlayın.
Ekipmanı yeniden başlatın. Sonucu kontrol et.
Yukarıda önerilen talimatlardan olumlu bir sonuç çıkmaması durumunda, tamamen tekrarlanması, sıfır yerine yalnızca bir ayarlanması önerilir.

güvenlik apache'si (8)

Meslektaşlarım ve ben, geliştirmekte olduğumuz bir Java 1.6.0 ___ 11 web uygulamasına erişmek için Firefox 3.0.6'yı kullanmakta sorun yaşıyoruz. Oturumda 1 ila 30 dakika arasında her şey yolunda gider... ancak sonunda bağlantı başarısız olur ve aşağıdaki hata görünür:

güvenli bağlantı başarısız

10.xxx bağlantısı sırasında bir hata oluştu

Eş ile güvenli iletişim kurulamıyor: ortak şifreleme algoritması yok.

(Hata kodu: ssl_error_no_cypher_overlap)

IE iyi çalışıyor. Firefox hem Windows'ta hem de Fedora'da bir hata veriyor, dolayısıyla sorun işletim sistemi ile ilgili değil. Java EE uygulaması bir Tomcat 6.0.16 sunucusunda çalışıyor. Tüm sayfalar, mod_nss ile bir Apache 2.2.8 HTTP sunucusu aracılığıyla TLS 1.0 kullanılarak şifrelenir.

Apache sunucumuz, SSL 3.0 bağlantılarını reddedecek şekilde yapılandırılmıştır. Bir hipotez, Firefox'un bir SSL 3.0 bağlantısı kurmaya çalışıyor olabileceği yönünde... ama neden?

Bazı Googling'lere dayanarak, aşağıdakileri başarılı olmadan denedik:

Firefox 2.x kullanarak (bazı kişiler 2.x'in çalıştığı ancak 3.x'in çalışmadığı durumlar bildirmiştir):

SSL2'yi etkinleştirme

SSL3'ü devre dışı bırak

OCSP'yi devre dışı bırakma (Araç > Seçenekler > Gelişmiş > Şifreleme > Doğrulama)

istemci bilgisayarın antivirüs/güvenlik duvarının 443 numaralı bağlantı noktasını (https bağlantı noktası) engellemediğini veya taramadığını

Herhangi bir fikir?

Kontrol etmek istediğim ilk şey mod_nss için yapılandırma. Garip çünkü o size ait ve dünyada böyle bir şey yok :-) Firefox'ta veya mod_nss'de çok büyük bir bug'ınız olsaydı, bunu zaten google arayışınızda öğrendiğinizi varsayardım. Bir ayardan (SSL3'ü ve diğer çeşitli rastgele ayarları devre dışı bırakmak gibi) yararlanmış olmanız da şüphelidir.

Vanilya mod_nss yapılandırmasını değiştirmeye geri döneceğim ve işe yarayıp yaramadığına bakacağım. Ardından, sorunu yeniden oluşturana kadar durumu sistematik olarak mevcut yapılandırmaya değiştirin. Görünüşe göre hatanın kaynağı mod_nss şifreleme yapılandırmasında ve ilgili protokollerde bir yerde. Öyleyse, SSLv3'ü devre dışı bırakmaya çalışırken yanlışlıkla orada bir şeyi değiştirmiş olabilirsiniz (btw, neden SSL3'ü devre dışı bırakıyorsunuz? İnsanlar genellikle V2'yi devre dışı bırakır mı?).

Son mod_nss'de olup olmadığınızı kontrol etmek için bir şey daha var ve bu bilinen bir hata değil. İlginç bir gerçek şu ki, bir oturum başlatmayı başarıyor ve daha sonra başarısız oluyor - bu, belki de oturumu yeniden müzakere etmeye çalıştığını ve bu noktada şifreler üzerinde anlaşamayacağını gösteriyor. Böylece, bunlar simetrik şifreler olabilir. Ya da sadece sizin mod_nss sürümünüzdeki protokolü bir şekilde çarpıtan bir uygulama hatası olabilir.

Başka bir fikir ve bu çılgınca bir tahmin, tarayıcının SSLv3 ile anlaşmaya varılan bir oturumu kapatmadan önce sürdürmeye çalışması ve V3 kapalıyken oturumu sürdürmeye çalışırken bir şeyin kesilmesi veya belki mod_nss'nin bunu yapmaması. doğru

Java/tomcat olayı kırmızı ringa balığı gibi görünüyor, çünkü açıklamanızı anlamadıysam, bunların hiçbiri el sıkışma/SSL protokolü ile ilgili değil.

Firefox'un gelişmiş ayarlarında şifrelemeyi ayarlayabilirsiniz. Varsayılan olarak SSL3.0 ve TLS1.0 kontrol edilmelidir, bu nedenle, eğer firefox ssl 3.0 oluşturmaya çalışırsa, ssl 3.0s'in işaretini kaldırmayı deneyin.

bu işe yaramazsa, "ssl2" için about:config sayfasını aramayı deneyin. ssl2 ayarlarıyla Firefox ayarlarım varsayılan olarak yanlış...

Wikipedia'daki SSL anlaşma sürecine bakarsanız, başlangıçta ClientHello ve ServerHello mesajlarının tarayıcı ile sunucu arasında gönderildiğini bilirsiniz.

Yalnızca ClientHello'da sağlanan şifreler sunucuda çakışan öğelere sahipse, ServerHello mesajı her iki tarafça desteklenen bir şifre içerecektir. Aksi takdirde paylaşılan şifre eksik olduğu için SSL bağlantısı başlatılmayacaktır.

Bunu çözmek için, tarayıcıda çalışmaya çalışmak yerine (genellikle tarayıcı işletim sistemini kullanır) şifreleri (genellikle işletim sistemi düzeyinde) yüklemeniz gerekir. Windows ve IE'ye aşinayım, ancak Linux ve Firefox hakkında fazla bir şey bilmiyorum, bu yüzden yalnızca neyin yanlış olduğunu gösterebilirim, ancak size bir çözüm sunamam.

Aynı sorunu yaşadım; çözümün "about:config" içindeki tüm SSL şemalarını etkinleştirmesi yeterliydi. Ben ssl ile filtreleyerek buldum. İlk olarak, gereksiz olanları devre dışı bırakmak için tüm seçenekleri etkinleştirdim.

Firefox tarayıcısı kullanılarak bir karşılama ekranı beklendiğinde oturum açıldıktan sonra "Hata: ssl_error_no_cypher_overlap" hata mesajı. 1. Çözüm: Tarayıcı adres çubuğuna "about:config" yazın 2: "security.ssl3.rsa_rc4_40_md5"i Arayın/Seçin 3: Boole değerini TRUE olarak ayarlayın

Bir karşılama ekranı beklendiğinde oturum açtıktan sonra "Hata kodu: ssl_error_no_cypher_overlap" hata mesajı - Firefox tarayıcı kullanılarak

Firefox tarayıcısında 40-bit RSA şifreleme desteğini etkinleştirin: 1: tarayıcı adres çubuğuna "about:config" yazın 2: "security.ssl3.rsa_rc4_40_md5" arayın/seçin 3: boole değerini TRUE olarak ayarlayın

Benim için ne işe yaradı, ben:

Hakkında: config.
Arama kutusuna "güvenlik" yazın.
Döndürülen tüm girişleri varsayılan değerlerine ayarlayın.
Arama kutusuna "ssl" yazdım.
Döndürülen tüm sonuçları varsayılana ayarlayın.
SSL2 etkin.
ssl3 devre dışı
Firefox'u yeniden yükledim.

Firefox'u yeniden başlatmayla ilgili bir not: Kapattıktan hemen sonra başlattığımda, genellikle silmemi gerektiren bir dosya erişim sorunu oluyor. yerler.sqlite Ve place.sqlite-journal V C:\WINDOWS\Application Data\Mozilla\Firefox\Profiles\n18091xv.default. Bu, geçmişimi kaybetmeme neden oluyor, bu her gerçekleştiğinde yer imlerinin her zaman bir yedekten geri yüklenmesi gerekiyor. Bu güçlükten kaçınmak için beş ila on dakika veya daha fazla bekliyorum.

Firefox v3.5.1'i WinMe'de Çalıştırma

Burp kullanırken güvenli sitelere (https://) benzer sorunlarla (veya en azından Google'da arama yaparken sizi bu sayfaya götürecek sorunla) ilgili sorunlar yaşadım:

Firefox'ta ssl_error_no_cypher_overlap
Chrome'da ERR_SSL_VERSION_OR_CIPHER_MISMATCH

Java 8 kullanırken bunun bir sorun olduğu ortaya çıktı. Java 7'ye geçtiğimde sorun durdu.