WRONG_VERSION_NUMBER dengan proxy: periksa HTTP versus HTTPS
Diagnosis ketidakcocokan transport proxy sebelum menurunkan versi TLS atau mengubah pengaturan sertifikat akibat kesalahan SSL yang menyesatkan.
Galatnya mengatakan “versi salah”, jadi godaan untuk mulai mengganti versi TLS muncul. Dengan proxy, periksa kemungkinan yang lebih awal: apakah klien mengirim jabat tangan TLS ke port yang menunggu HTTP biasa?
Tujuan seperti https://example.com/ dan proxy seperti http://proxy.example:8080 adalah pasangan biasa. Mengubah URL kedua menjadi HTTPS memberi tahu klien untuk mengenkripsi percakapannya dengan proxy itu sendiri. Itu bukan instruksi untuk mengizinkan situs HTTPS.
Temukan percakapan TLS pertama
Pada proxy HTTP, klien dapat lebih dulu mengirim CONNECT dan menerima balasan HTTP. Baru setelah itu ia memulai TLS tujuan di dalam terowongan. Pada proxy HTTPS, koneksi TLS terpisah ke proxy datang lebih dulu.
Pengurai TLS yang menerima halaman galat HTTP atau teks biasa lain dapat melaporkan galat protokol. Kata-katanya tidak menetapkan versi TLS mana yang didukung situs, bahkan tidak menetapkan bahwa situs tersebut dihubungi.
- Catat URL proxy, termasuk skemanya, dan protokol titik akhir yang didokumentasikan.
- Cari tahu apakah kegagalan terjadi sebelum balasan CONNECT, selama TLS tujuan, atau saat memverifikasi sertifikat proxy itu sendiri.
- Periksa versi klien dan dependensi yang sebenarnya saat membandingkan solusi lama. Implementasi proxy sebelumnya kadang memperlakukan skema secara berbeda.
Beberapa perbaikan bisa salah karena alasan berbeda. Daftar proxy HTTP menawarkan kandidat titik akhir HTTP biasa untuk permintaan publik yang diizinkan melalui rute semacam itu. Titik akhir HTTP biasa memerlukan skema proxy HTTP; titik akhir yang benar-benar mendukung TLS harus mempertahankan HTTPS dan verifikasi sertifikatnya. Proxy yang menolak CONNECT memerlukan layanan atau kebijakan yang didukung, bukan penurunan versi pustaka secara sembarangan.
Pertahankan kegagalan pertama yang teramati. Menonaktifkan verifikasi sertifikat tidak dapat membuat pendengar hanya HTTP berbicara TLS, dan memilih kebijakan cipher lama tidak dapat menjelaskan penolakan HTTP yang dikirim sebelum jabat tangan situs.