WRONG_VERSION_NUMBER proxy batekin: egiaztatu HTTP eta HTTPS

Diagnostikatu proxyaren garraio-desdoitzea TLS bertsioak jaitsi edo ziurtagirien ezarpenak aldatu aurretik, SSL errore engainagarri bat dela eta.

Erroreak “bertsio okerra” dio, beraz tentagarria da TLS bertsioak aldatzen hasteko. Proxy batekin, egiaztatu lehenagoko aukera bat: HTTP soila espero zuen portura bidali al zuen bezeroak TLS esku-ematea?

https://example.com/ bezalako helmuga bat eta http://proxy.example:8080 bezalako proxy bat ohiko bikotea dira. Bigarren URLa HTTPSra aldatzeak bezeroari esaten dio bere elkarrizketa proxyarekin berarekin enkriptatzeko. Ez da HTTPS guneak onartzeko argibidea.

Kokatu lehen TLS elkarrizketa

HTTP proxyarekin, bezeroak lehenengo CONNECT bidali eta HTTP erantzun bat jaso dezake. Ondoren soilik hasten du helmugaren TLSa tunelaren barruan. HTTPS proxyarekin, lehenengo proxyarekiko TLS konexio bereizi bat dator.

HTTP errore-orria edo beste testu soil bat jasotzen duen TLS analizatzaileak protokolo-errorea jakinarazi dezake. Idazkerak ez du zehazten gunerik zein TLS bertsio onartzen dituen, ezta gunerik kontaktatu zen ere.

  1. Idatz itzazu proxyaren URLa, bere eskema barne, eta muturreko protokolo dokumentatua.
  2. Argitu hutsegitea CONNECT erantzunaren aurretik, helmugaren TLSan zehar edo proxyaren ziurtagiria egiaztatzean gertatu zen.
  3. Egiaztatu bezeroaren eta mendekotasunen benetako bertsioak konponbide zahar bat konparatzean. Aurreko proxy inplementazioek eskema modu desberdinean tratatzen zuten batzuetan.

Zenbait konponketa oker egon daitezke arrazoi desberdinengatik. HTTP proxy zerrendak HTTP muturreko hautagai arruntak eskaintzen ditu bide horretatik onartutako eskaera publikorako. HTTP muturreko soil batek HTTP proxyaren eskema behar du; benetan TLS gaitutako muturreko batek HTTPSa eta bere ziurtagiriaren egiaztapena mantendu beharko lituzke. CONNECT ukatzen duen proxy batek onartutako zerbitzu edo politika bat behar du, ez liburutegiaren jaitsiera arbitrariorik.

Eutsi lehen hutsegite behatu ahal denari. Ziurtagirien egiaztapena desaktibatzeak ezin du HTTP soilik hitz egiten duen entzule bat TLS hitz egitera behartu, eta zifratze politika zahar bat hautatzeak ezin du azaldu gunerik esku-ematearen aurretik bidalitako HTTP ukapena.

Erlazionatutako artikuluak