WRONG_VERSION_NUMBER välityspalvelimen kanssa: tarkista HTTP vai HTTPS

Selvitä välityspalvelimen siirtotavan ristiriita ennen kuin alennat TLS-versioita tai muutat varmenneasetuksia harhaanjohtavan SSL-virheen vuoksi.

Virhe sanoo “väärä versio”, joten houkutus alkaa vaihtaa TLS-versioita on suuri. Välityspalvelimen kanssa tarkista aikaisempi mahdollisuus: lähettikö asiakas TLS-kättelyn portille, joka odotti tavallista HTTP:tä?

Kohde kuten https://example.com/ ja välityspalvelin kuten http://proxy.example:8080 ovat tavallinen pari. Toisen URL-osoitteen muuttaminen HTTPS:ksi kertoo asiakkaalle, että sen tulee salata keskustelunsa välityspalvelimen itsensä kanssa. Se ei ole ohje sallia HTTPS-sivustoja.

Paikanna ensimmäinen TLS-keskustelu

HTTP-välityspalvelimen kanssa asiakas voi ensin lähettää CONNECTin ja vastaanottaa HTTP-vastauksen. Vasta sen jälkeen se aloittaa kohteen TLS:n tunnelin sisällä. HTTPS-välityspalvelimen kanssa ensin tulee erillinen TLS-yhteys välityspalvelimeen.

TLS-jäsennin, joka vastaanottaa HTTP-virhesivun tai muuta tavallista tekstiä, voi ilmoittaa protokollavirheen. Sanamuoto ei osoita, mitä TLS-versioita sivusto tukee, eikä edes sitä, että sivustoon otettiin yhteyttä.

  1. Kirjaa välityspalvelimen URL-osoite skeemoineen ja päätepisteen dokumentoitu protokolla.
  2. Selvitä, tapahtuiko vika ennen CONNECT-vastausta, kohteen TLS:n aikana vai välityspalvelimen oman varmenteen tarkistuksessa.
  3. Tarkista asiakkaan ja riippuvuuksien todelliset versiot, kun vertaat vanhaa kiertotietä. Aikaisemmat välityspalvelintoteutukset kohtelivat skeemaa joskus eri tavalla.

Useat korjaukset voivat olla vääriä eri syistä. HTTP-välityspalvelinluettelo tarjoaa tavallisia HTTP-päätepisteehdokkaita julkisille pyynnöille, jotka sallitaan tällaista reittiä. Tavallinen HTTP-päätepiste tarvitsee HTTP-välityspalvelinskeeman; aidosti TLS-käytössä oleva päätepiste pitäisi säilyttää HTTPS ja varmenteen tarkistus. CONNECTin hylkäävä välityspalvelin tarvitsee tuetun palvelun tai käytännön, ei mielivaltaista kirjaston laskemista.

Pidä kiinni ensimmäisestä havaittavasta viasta. Varmenteen tarkistuksen poistaminen ei saa vain HTTP:tä puhuvaa kuuntelijaa puhumaan TLS:ää, eikä vanhan salauskäytännön valinta selitä HTTP-hylkäystä, joka lähetettiin ennen sivuston kättelyä.

Aiheeseen liittyvät artikkelit