Perché Internet Explorer 11 non è in grado di connettersi ai siti HTTPS quando TLS 1.2 è abilitato?

Normalmente non uso affatto Internet Explorer. Lo uso solo in fase di progettazione per i test di interfaccia (macchina di sviluppo e con http non crittografato). Ogni settimana eseguo il test del server SSL Labs che dice che IE11 è in grado di accedere ai miei siti.

Oggi ho scoperto un problema con uno dei miei servizi di terze parti. Alcune funzioni speciali non funzionano con Chrome o Firefox, quindi ho avviato IE11 sul mio computer con Windows 7. E IE11 mi mostra che una strega con errori incorporata dice semplicemente "la pagina non può essere mostrata". E il tipico manichino bla bla piace controllare il DNS e così via. Non c'era assolutamente alcun segno di un problema relativo alla crittografia nell'intera pagina di errore (come farebbe un normale browser).

Un paio di mesi fa questo schannelproblema impediva agli IE abilitati TLS1.2 di accedere ai siti HTTPS. Da quel momento la mia "lista di controllo WTF per IE" contiene "disabilita TLS1.2" come punto di controllo. E cosa dovrei dire ... disabilitando TLS1.2 all'interno di IE ha funzionato e il mio sito è di nuovo disponibile . Ma non posso farlo sui browser dei miei visitatori.

Ora alle domande reali: Perché Internet Explorer 11 non è in grado di connettersi al mio sito HTTPS quando TLS 1.2 è abilitato in IE? E come ripararlo sul lato server? SSL Labs sta dicendo che tutto va bene sul mio sito .

Modifica importante: sembra che IE11 possa gestire solo il dominio non prefisso e non i domini prefissati quando TLS1.2 è abilitato. dominio senza prefisso (www) funziona mentre dominio compreso prefisso (www) non funzionerà .

Sul lato server sto usando debian / 7 nginx / 1.7.8 openssl / 1.0.1e

Le cifre disponibili sono: ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:-DES:!RC4:!MD5:!PSK:!aECDH:EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

— burnersk
fonte

Potrei essere correlato o meno: il tuo certificato ha voci SAN duplicate per ssl.dev5media.de. Forse IE11 gracchia per quello? A parte questo, la CN è ssl.dev5media.de, ovvero ha il prefisso ssl e non un prefisso come descritto.

— Steffen Ullrich,

Grazie per averlo sottolineato, @SteffenUllrich. CN era senza prefisso prima della mia ultima rotazione del certificato un paio di settimane fa. Rimuoverò la parte CN all'interno della domanda. Ma comunque ... funziona quando TLS1.2 è disabilitato. La convalida del certificato non dovrebbe essere in una libreria condivisa e non all'interno delle implementazioni del metodo di crittografia (TLS1.0, TLS1.1, TLS1.2)?

— Burnersk,

Il sito www.dev5media.defunziona per me su IE11, Win7 con TLS 1.2 e cifratura in TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 base all'acquisizione di un pacchetto. Quale sistema operativo usi e puoi fare un'acquisizione di pacchetti sia per il nome funzionante che per quello non funzionante per vedere la differenza?

— Steffen Ullrich,

@SteffenUllrich: Non sono un esperto di Wireshark ma sembra che l'handshake www.dev5media.de (con TLS_DHE_RSA_WITH_AES_128_GCM_SHA256) sia stata eseguita correttamente. Ma dopo Server Hello Donenon c'è comunicazione dal client al server.

— Burnersk,

In seguito, ho provato con IE11 (11.0.9600.17690) su Windows 8.1 e ho ottenuto l'errore generico "Questa pagina non può essere visualizzata" per entrambi https://dev5media.de/e https://www.dev5media.de/, quindi in qualche modo ho ottenuto un risultato più coerente.

— Håkan Lindqvist,

Risposte:

Hai anche abilitato SSL 2.0?

Secondo http://support.microsoft.com/en-us/kb/2851628 "SSL 2.0 e TLS 1.2 non sono compatibili tra loro nei sistemi operativi Windows 7 e successivi. Per utilizzare i certificati lato client per stabilire una connessione HTTPS su TLS 1.2, è necessario disabilitare SSL 2.0 ".

— John Ball
fonte

Ho affrontato questo problema oggi con IE11 su Win 7 (completamente aggiornato con aggiornamenti importanti, ma non facoltativi), quando si utilizza la suite intermedia di Mozilla , che funziona perfettamente con IE8 su XP e dovrebbe funzionare con IE7 +. Pensavo di pubblicare qui è che questo problema non si presenta molto altro su Google.

Ho trascorso un po 'di tempo con WireShark a capire le modifiche minime necessarie per farlo funzionare. Disclaimer: non sono un esperto di crittografia, potrebbe esserci un modo migliore per farlo. Ma non ha cambiato affatto la mia valutazione su ssllabs.com.

Sposta ECDHE-RSA-AES128-SHA256 (il primo che funziona per IE11) in alto sopra kEDH + AESGCM e DHE-RSA-AES128-GCM-SHA256, per la suite intermedia che risulta in:

ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

— aaron-bru
fonte

L'unica soluzione che ho trovato: http://www.techsupportall.com/solved-cannot-access-secure-sites-https-we
website-not-opening-view/ Ci sono istruzioni su come REGSVR su Internet Explorer.

— T.Todua
fonte