WRONG_VERSION_NUMBER s proxy: skontrolujte HTTP proti HTTPS

Chyba hovorí “nesprávna verzia”, preto láka začať prepínať verzie TLS. Pri proxy však skontrolujte skoršiu možnosť: neposlal klient TLS handshake na port, ktorý čakal na obyčajný HTTP?

Cieľ ako https://example.com/ a proxy ako http://proxy.example:8080 sú bežná dvojica. Zmena druhého URL na HTTPS hovorí klientovi, aby šifroval svoju konverzáciu so samotným proxy. Nie je to pokyn povoliť weby HTTPS.

Nájdite prvú TLS konverzáciu

Pri HTTP proxy môže klient najprv poslať CONNECT a dostať odpoveď HTTP. Až potom začne TLS cieľa vnútri tunela. Pri HTTPS proxy prichádza najprv samostatné TLS spojenie s proxy.

TLS parser, ktorý dostane chybovú stránku HTTP alebo iný obyčajný text, môže hlásiť chybu protokolu. Formulácia neurčuje, ktoré verzie TLS web podporuje, ani či bol web vôbec kontaktovaný.

1. Zaznamenajte URL proxy vrátane jej schémy a dokumentovaný protokol koncového bodu.
2. Zistite, či zlyhanie nastalo pred odpoveďou CONNECT, počas TLS cieľa alebo pri overovaní vlastného certifikátu proxy.
3. Pri porovnávaní starého obchvatu skontrolujte skutočné verzie klienta a závislostí. Skoršie implementácie proxy niekedy zaobchádzali so schémou inak.

Niekoľko opráv môže byť nesprávnych z rôznych dôvodov. Zoznam HTTP proxy ponúka bežných kandidátov na koncové body HTTP pre verejné požiadavky povolené takouto cestou. Obyčajný koncový bod HTTP potrebuje schému HTTP proxy; skutočne TLS-zapnutý koncový bod by mal zachovať HTTPS a overovanie certifikátu. Proxy odmietajúce CONNECT potrebuje podporovanú službu alebo politiku, nie svojvoľné zníženie knižnice.

Držte sa prvého pozorovateľného zlyhania. Vypnutie overovania certifikátov nemôže prinútiť poslucháča hovoriaceho len HTTP hovoriť TLS a voľba starej šifrovej politiky nemôže vysvetliť odmietnutie HTTP odoslané pred handshakeom webu.