WRONG_VERSION_NUMBER b'proxy: iċċekkja HTTP kontra HTTPS

Iddijanjostika nuqqas ta' qbil fit-trasport tal-proxy qabel ma tniżżel il-verżjonijiet TLS jew tbiddel is-settings taċ-ċertifikat minħabba żball SSL qarrieqi.

L-iżball jgħid “verżjoni ħażina”, allura jittant li tibda tbiddel il-verżjonijiet TLS. Bil-proxy, iċċekkja possibilità aktar bikrija: il-klijent bagħat handshake TLS lejn port li kien qed jistenna HTTP sempliċi?

Destinazzjoni bħal https://example.com/ u proxy bħal http://proxy.example:8080 huma par ordinarju. It-tibdil tat-tieni URL għal HTTPS jgħid lill-klijent biex jikkripta l-konversazzjoni tiegħu mal-proxy stess. Mhuwiex struzzjoni biex jitħallew siti HTTPS.

Sib l-ewwel konversazzjoni TLS

B'proxy HTTP, il-klijent jista' l-ewwel jibgħat CONNECT u jirċievi tweġiba HTTP. Biss wara jibda t-TLS tad-destinazzjoni ġewwa t-tunnel. B'proxy HTTPS, l-ewwel tiġi konnessjoni TLS separata mal-proxy.

Parser TLS li jirċievi paġna ta' żball HTTP jew test ieħor sempliċi jista' jirrapporta żball ta' protokoll. Il-kliem ma jistabbilixxix liema verżjonijiet TLS is-sit jappoġġja, u lanqas li s-sit ġie kkuntattjat.

  1. Irreġistra l-URL tal-proxy, inkluż l-iskema tiegħu, u l-protokoll iddokumentat tal-endpoint.
  2. Sib jekk il-falliment seħħx qabel tweġiba CONNECT, waqt it-TLS tad-destinazzjoni, jew waqt il-verifika taċ-ċertifikat tal-proxy stess.
  3. Iċċekkja l-verżjonijiet reali tal-klijent u tad-dipendenzi meta tqabbel soluzzjoni antika. Implimentazzjonijiet preċedenti tal-proxy xi drabi ttrattaw skema b'mod differenti.

Diversi korrezzjonijiet jistgħu jkunu ħżiena għal raġunijiet differenti. Il-lista tal-proxy HTTP toffri kandidati ordinarji ta' endpoint HTTP għal talbiet pubbliċi permessi minn rotot bħal dawn. Endpoint HTTP sempliċi jeħtieġ l-iskema tal-proxy HTTP; endpoint li tassew għandu TLS għandu jżomm HTTPS u l-verifika taċ-ċertifikat tiegħu. Proxy li jirrifjuta CONNECT jeħtieġ servizz jew politika appoġġjati, mhux tniżżil arbitrarju tal-librerija.

Żomm l-ewwel falliment osservabbli. It-tifi tal-verifika taċ-ċertifikat ma jistax iġiegħel semmiegħ li jaf biss HTTP jitkellem TLS, u l-għażla ta' politika ta' cipher antika ma tistax tispjega ċaħda HTTP mibgħuta qabel il-handshake tas-sit.

Artikli relatati