Чому Internet Explorer 11 не може підключитися до сайтів HTTPS, коли TLS 1.2 увімкнено?

15

Зазвичай я зовсім не використовую Internet Explorer. Я використовую його лише в час проектування для тестів інтерфейсу (машина розробки та з незашифрованим http). Щотижня я запускаю тест сервера лабораторій SSL, який говорить, що IE11 може отримати доступ до моїх сайтів.

Сьогодні я виявив проблему з однією зі своїх третіх служб. Якась спеціальна функція не працює з Chrome або Firefox, тому я запустив IE11 на своїй машині Windows 7. І IE11 показує мені, що вбудована сторінка з помилками відьом в основному говорить лише "сторінку не можна було показати". І типовий фіктивний бла, як перевірити DNS тощо. Не було жодних ознак проблеми, пов’язаної із шифруванням, на всій сторінці помилок (як це робив звичайний браузер).

Ще кілька місяців виникла ця schannelпроблема, яка забороняє IE з включеним TLS1.2 доступом до HTTPS-сайтів. З цього моменту мій "контрольний список WTF для IE" містить "відключити TLS1.2" як контрольну точку. І що мені сказати ... відключення TLS1.2 в IE працювало, і мій сайт знову доступний . Але я не можу цього робити у своїх браузерах відвідувачів.

Тепер до справжніх питань: Чому Internet Explorer 11 не може підключитися до мого сайту HTTPS, коли TLS 1.2 увімкнено в IE? І як це виправити на стороні сервера? SSL Labs повідомляє, що на моєму сайті все добре .

Імпрантне редагування: Схоже, що IE11 може обробляти лише домен без префікса, а не доменні домені, коли TLS1.2 увімкнено. домен без префіксу (www) працює, поки домен, що включає префікс (www), не працюватиме .

На стороні сервера я використовую debian / 7 nginx / 1.7.8 openssl / 1.0.1e

Доступні шифри: ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:-DES:!RC4:!MD5:!PSK:!aECDH:EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

nginx  ssl  openssl  internet-explorer  tls 
— burnersk
джерело
3
Я можу бути пов'язаним чи ні: у вашому сертифікаті є дублікати записів SAN для ssl.dev5media.de. Можливо, IE11 грікає з цього приводу? Крім того, що CN є ssl.dev5media.de, тобто має префікс ssl, а не префікс, як ви описуєте.
— Steffen Ullrich
Дякуємо, що вказали на це, @SteffenUllrich. CN був без префіксу перед моїм останнім обертанням сертифікату пару тижнів тому. Я видаляю частину CN у питанні. Але все одно ... він працює, коли TLS1.2 відключений. Чи не повинна перевірка сертифіката бути в спільній бібліотеці, а не в рамках реалізації методу шифрування (TLS1.0, TLS1.1, TLS1.2)?
— burnersk
1
Сайт www.dev5media.deпрацює для мене на IE11, Win7 з TLS 1.2 та шифром TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 відповідно до захоплення пакету. Яку ОС ви використовуєте і чи можете ви робити захоплення пакетів як робочого, так і неробочого імені, щоб побачити різницю?
— Steffen Ullrich
@SteffenUllrich: Я не фахівець Wireshark, але я схоже на те, що рукостискання (з TLS_DHE_RSA_WITH_AES_128_GCM_SHA256) www.dev5media.de зроблено успішно. Але після Server Hello Doneтого, як від клієнта до сервера немає зв’язку.
— burnersk
2
Fwiw, я спробував з IE11 (11.0.9600.17690) в Windows 8.1 і отримав загальну помилку "Цю сторінку не можна відобразити" для обох, https://dev5media.de/і https://www.dev5media.de/я чомусь отримав більш послідовний результат.
— Хокан Ліндквіст

Відповіді:

5

У вас також включений SSL 2.0?

Згідно з http://support.microsoft.com/en-us/kb/2851628 "SSL 2.0 та TLS 1.2 не сумісні між собою в операційних системах Windows 7 та новіших версіях. Використовувати сертифікати на стороні клієнта для встановлення HTTPS-з'єднання. над TLS 1.2, ви повинні відключити SSL 2.0 ".

— Джон Бал
джерело
3

Сьогодні у цій проблемі потрапив IE11 на Win 7 (повністю оновлений з важливими оновленнями, але не необов’язкові), коли використовується Mozilla Intermediate Suite , який чудово працює з IE8 на XP і повинен працювати з IE7 +. Я думав, що я опублікую тут, ця проблема не з’являється багато іншого в Google.

Провели деякий час, використовуючи проводку, визначивши мінімальні зміни, необхідні для роботи. Відмова: Я не експерт з криптовалюти, може бути кращий спосіб зробити це. Але це зовсім не змінило мого рейтингу ssllabs.com.

Перемістіть ECDHE-RSA-AES128-SHA256 (перший, який працює для IE11) вгору вище kEDH + AESGCM та DHE-RSA-AES128-GCM-SHA256, для проміжного набору, що призведе до:

ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA
— аарон-бру
джерело
Відповідь повинна бути такою, яка прийнята. Просто перемістіть ECDHE-RSA-AES128-GCM-SHA256, щоб стати першим у списку. У мене була така ж проблема при вході nginx у k8s та зміненій у cofigmap: ssl-шифрах: ECDHE-RSA-AES128-GCM-SHA256: ECDHE-ECDSA-AES256-GCM-SHA384: ECDHE-RSA-AES256-GCM-38 ECDHE-ECDSA-CHACHA20-POLY1305: ECDHE-RSA-CHACHA20-POLY1305: ECDHE-ECDSA-AES128-GCM-SHA256: ECDHE-ECDSA-AES256-SHA384: ECDHE-RSA-AES256-ECA-AES256-ECA-AES256-ECA-AES256-ECA-AES256-ECA-AES256-ECA ECDHE-RSA-AES128-SHA256 ssl-протоколи: TLSv1.3 TLSv1.2
— denis111
Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.