WRONG_VERSION_NUMBER puhverserveriga: kontrolli HTTP ja HTTPS-i

Viga ütleb “vale versioon”, seega ahvatleb TLS-i versioone vahetama hakata. Puhverserveri korral kontrolli varasemat võimalust: kas klient saatis TLS-i kätluse pordile, mis ootas tavalist HTTP-d?

Sihtkoht nagu https://example.com/ ja puhverserver nagu http://proxy.example:8080 on tavaline paar. Teise URL-i muutmine HTTPS-iks ütleb kliendile, et see krüpteeriks oma vestluse puhverserveri endaga. See ei ole korraldus lubada HTTPS-i veebisaite.

Leia esimene TLS-vestlus

HTTP-puhverserveri puhul võib klient kõigepealt saata CONNECT-i ja saada HTTP-vastuse. Alles seejärel alustab ta tunneli sees sihtkoha TLS-i. HTTPS-puhverserveri puhul tuleb kõigepealt eraldi TLS-ühendus puhverserveriga.

TLS-i parser, mis saab HTTP-vigalehekülje või muu tavateksti, võib teatada protokolliveast. Sõnastus ei näita, milliseid TLS-i versioone veebisait toetab, ega isegi seda, kas veebisaidiga ühendust võeti.

1. Kirjuta üles puhverserveri URL koos skeemiga ja lõpp-punkti dokumenteeritud protokoll.
2. Selgita välja, kas tõrge juhtus enne CONNECT-vastust, sihtkoha TLS-i ajal või puhverserveri enda sertifikaadi kontrollimisel.
3. Kontrolli tegelikke kliendi- ja sõltuvuste versioone, kui võrdled vana möödasõitu. Varasemad puhverserveri teostused käsitlesid skeemi mõnikord teisiti.

Mitu parandust võib olla erinevatel põhjustel vale. HTTP-puhverserverite loend pakub tavalisi HTTP-lõpp-punkti kandidaate avalikele päringutele, mis on sellise marsruudi kaudu lubatud. Tavaline HTTP-lõpp-punkt vajab HTTP-puhverserveri skeemi; tõeliselt TLS-iga lubatud lõpp-punkt peaks säilitama HTTPS-i ja sertifikaadi kontrolli. CONNECT-i tagasi lükkav puhverserver vajab toetatud teenust või poliitikat, mitte meelevaldset teegi alandamist.

Hoia esimest vaadeldavat tõrget. Sertifikaadi kontrolli väljalülitamine ei pane ainult HTTP-d rääkivat kuulajat TLS-i rääkima ja vana šifreerimispoliitika valimine ei selgita HTTP-tagasilükkamist, mis saadeti enne veebisaidi kätlust.