WRONG_VERSION_NUMBER με διαμεσολαβητή: ελέγξτε HTTP έναντι HTTPS

Διαγνώστε μια ασυμφωνία μεταφοράς στον διαμεσολαβητή πριν υποβαθμίσετε εκδόσεις TLS ή αλλάξετε ρυθμίσεις πιστοποιητικών εξαιτίας ενός παραπλανητικού σφάλματος SSL.

Το σφάλμα λέει “λάθος έκδοση”, οπότε είναι δελεαστικό να αρχίσετε να αλλάζετε εκδόσεις TLS. Με διαμεσολαβητή, ελέγξτε μια προγενέστερη πιθανότητα: έστειλε ο πελάτης χειραψία TLS σε θύρα που περίμενε απλό HTTP;

Ένας προορισμός όπως https://example.com/ και ένας διαμεσολαβητής όπως http://proxy.example:8080 είναι ένα συνηθισμένο ζεύγος. Η αλλαγή του δεύτερου URL σε HTTPS λέει στον πελάτη να κρυπτογραφήσει τη συνομιλία του με τον ίδιο τον διαμεσολαβητή. Δεν είναι οδηγία να επιτρέπονται ιστότοποι HTTPS.

Εντοπίστε την πρώτη συνομιλία TLS

Με διαμεσολαβητή HTTP, ο πελάτης μπορεί πρώτα να στείλει CONNECT και να λάβει απάντηση HTTP. Μόνο τότε ξεκινά το TLS του προορισμού μέσα στη σήραγγα. Με διαμεσολαβητή HTTPS, πρώτα έρχεται μια ξεχωριστή σύνδεση TLS προς τον διαμεσολαβητή.

Ένας αναλυτής TLS που λαμβάνει σελίδα σφάλματος HTTP ή άλλο απλό κείμενο μπορεί να αναφέρει σφάλμα πρωτοκόλλου. Η διατύπωση δεν καθορίζει ποιες εκδόσεις TLS υποστηρίζει ο ιστότοπος, ούτε καν ότι επικοινώνησε με τον ιστότοπο.

  1. Καταγράψτε το URL του διαμεσολαβητή, μαζί με το σχήμα του, και το τεκμηριωμένο πρωτόκολλο του τελικού σημείου.
  2. Βρείτε αν η αποτυχία συνέβη πριν από απάντηση CONNECT, κατά το TLS του προορισμού ή κατά την επαλήθευση του πιστοποιητικού του ίδιου του διαμεσολαβητή.
  3. Ελέγξτε τις πραγματικές εκδόσεις πελάτη και εξαρτήσεων όταν συγκρίνετε μια παλιά παράκαμψη. Παλαιότερες υλοποιήσεις διαμεσολαβητή μερικές φορές χειρίζονταν διαφορετικά ένα σχήμα.

Αρκετές διορθώσεις μπορεί να είναι λάθος για διαφορετικούς λόγους. Η λίστα διαμεσολαβητών HTTP προσφέρει συνηθισμένους υποψηφίους τελικών σημείων HTTP για δημόσια αιτήματα που επιτρέπονται μέσω μιας τέτοιας διαδρομής. Ένα απλό τελικό σημείο HTTP χρειάζεται το σχήμα διαμεσολαβητή HTTP· ένα πραγματικά ενεργοποιημένο με TLS τελικό σημείο θα πρέπει να διατηρεί HTTPS και την επαλήθευση του πιστοποιητικού του. Ένας διαμεσολαβητής που απορρίπτει το CONNECT χρειάζεται υποστηριζόμενη υπηρεσία ή πολιτική, όχι αυθαίρετη υποβάθμιση βιβλιοθήκης.

Κρατήστε την πρώτη παρατηρήσιμη αποτυχία. Η απενεργοποίηση της επαλήθευσης πιστοποιητικού δεν μπορεί να κάνει έναν ακροατή μόνο HTTP να μιλήσει TLS, και η επιλογή παλιάς πολιτικής κρυπτογράφησης δεν μπορεί να εξηγήσει μια απόρριψη HTTP που στάλθηκε πριν από τη χειραψία του ιστότοπου.

Σχετικά άρθρα