WRONG_VERSION_NUMBER me një proxy: kontrolloni HTTP kundrejt HTTPS

Diagnostikoni një mospërputhje transporti të proxy-t përpara se të ulni versionet TLS ose të ndryshoni cilësimet e certifikatës për shkak të një gabimi SSL mashtrues.

Gabimi thotë “version i gabuar”, ndaj është joshëse të filloni të ndryshoni versione TLS. Me një proxy, kontrolloni një mundësi më të hershme: a dërgoi klienti një shtrëngim duarsh TLS në një port që priste HTTP të thjeshtë?

Një destinacion si https://example.com/ dhe një proxy si http://proxy.example:8080 janë një çift i zakonshëm. Ndryshimi i URL-së së dytë në HTTPS i thotë klientit të kriptojë bisedën me vetë proxy-n. Nuk është udhëzim për të lejuar sajte HTTPS.

Gjeni bisedën e parë TLS

Me proxy HTTP, klienti mund të dërgojë fillimisht CONNECT dhe të marrë një përgjigje HTTP. Vetëm pas kësaj nis TLS-in e destinacionit brenda tunelit. Me proxy HTTPS, së pari vjen një lidhje TLS e veçantë me proxy-n.

Një analizues TLS që merr një faqe gabimi HTTP ose tekst tjetër të thjeshtë mund të raportojë një gabim protokolli. Formulimi nuk përcakton cilat versione TLS mbështet sajti, as nëse sajti u kontaktua fare.

  1. Shënoni URL-në e proxy-t, duke përfshirë skemën e saj, dhe protokollin e dokumentuar të pikës fundore.
  2. Zbuloni nëse dështimi ndodhi para një përgjigjeje CONNECT, gjatë TLS-it të destinacionit, apo gjatë verifikimit të certifikatës së vetë proxy-t.
  3. Kontrolloni versionet reale të klientit dhe të varësive kur krahasoni një zgjidhje të vjetër. Implementimet e mëparshme të proxy-t ndonjëherë trajtonin një skemë ndryshe.

Disa korrigjime mund të jenë të gabuara për arsye të ndryshme. Lista e proxy-ve HTTP ofron kandidatë të zakonshëm të pikave fundore HTTP për kërkesa publike të lejuara nëpër një rrugë të tillë. Një pikë fundore HTTP e thjeshtë kërkon skemën e proxy-t HTTP; një pikë fundore vërtet e mundësuar me TLS duhet të mbajë HTTPS dhe verifikimin e certifikatës. Një proxy që refuzon CONNECT kërkon një shërbim ose politikë të mbështetur, jo një ulje arbitrare të bibliotekës.

Mbajini dështimin e parë të vëzhgueshëm. Çaktivizimi i verifikimit të certifikatës nuk mund ta bëjë një dëgjues që flet vetëm HTTP të flasë TLS, dhe zgjedhja e një politike të vjetër shifrimi nuk mund të shpjegojë një refuzim HTTP të dërguar përpara shtrëngimit të duarsh të sajtit.

Artikuj të ngjashëm