Как можно определить устаревшего ssl клиента и отправить его на http?

Question

Дмитрий @helldweller

PornOps

Как можно определить устаревшего ssl клиента и отправить его на http?

Проблема такова, что включили tls 1.1+ И появились жалобы на невозможность подключения.
Во всех случаях это были старые клиенты NT 5.1 и прочие и $schema https.
Как можно в случае неудачи подключения по https - сделать редирект на http
Или хотя бы логировать эти неудачи.

Вопрос задан более трёх лет назад
633 просмотра

2 комментария

Подписаться 4 Простой 2 комментария

Boris Köln @BorisKorobkov

Как можно в случае неудачи подключения по https - сделать редирект на http?

Как можно в случае неудачи открытия сейфа по сложному паролю - открыть сейф без пароля?

Написано более трёх лет назад

Дмитрий @helldweller Автор вопроса

Кому интересно, вот статистика за сутки по tls / cipher с таким конфигом:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers ALL:!aNULL:!eNULL:@STRENGTH;

Top values
 TLSv1.2/ECDHE-RSA-AES128-GCM-SHA256	58.11%	13,035,267
 TLSv1.2/ECDHE-RSA-AES256-GCM-SHA384	18.27%	4,099,063
 TLSv1.2/ECDHE-RSA-AES256-SHA384	10.60%	2,378,524
 TLSv1/AES256-SHA	5.99%	1,342,986
 TLSv1/ECDHE-RSA-AES256-SHA	5.81%	1,303,399
Others
TLSv1.2/ECDHE-RSA-AES256-SHA	1.03%	230,179
TLSv1/RC4-SHA	0.12%	26,693
TLSv1.1/ECDHE-RSA-AES256-SHA	0.06%	12,967
TLSv1.2/AES256-SHA256	0.00%	620
TLSv1/DES-CBC3-SHA	0.00%	518
TLSv1/ECDHE-RSA-AES128-SHA	0.00%	479
TLSv1/DHE-RSA-AES256-SHA	0.00%	249
TLSv1/AES128-SHA	0.00%	123
TLSv1.2/AES256-GCM-SHA384	0.00%	45
TLSv1.1/AES256-SHA	0.00%	42
TLSv1.2/AES256-SHA	0.00%	16
TLSv1.2/ECDHE-RSA-AES128-SHA256	0.00%	2

В моем случае вонь началась из-за TLSv1/RC4-SHA 0.12% =)
Доля https трафика составляет 64.59%

Написано более трёх лет назад

Решения вопроса 1

6 комментариев

Дмитрий @helldweller Автор вопроса
log_format main '$remote_addr - $remote_user [$time_local] $scheme $server_name "$request" ' '$status $body_bytes_sent "$http_referer" ' '"$http_user_agent" "$http_x_forwarded_for" $request_time "$http_cf_ray" "$ssl_protocol/$ssl_cipher"';

Добавил себе в лог protocol и cipher, спасибо.
Насколько я понимаю, т.к. tls соединение ниже по уровню, чем http я не смогу отправить http редирект юзеру на неустановленном соединении... Тут только вижу как выход промежуточный прокси, который поддерживает в т.ч. устаревшие протоколы и в случае установления соединения на отстойном протоколе - делать редирект на http. Сомнительное удовольствие.
Написано более трёх лет назад
chupasaurus @chupasaurus

Дмитрий, Да, более красивого решения мне тоже в голову не приходит. Можно конечно воткнуть if - return 301, но он будет отрабатывать каждый раз.

Написано более трёх лет назад
Дмитрий @helldweller Автор вопроса

Если бы дело дошло до if, на каком бы протоколе сервер ему ответил если ssl не устанавливается...

Написано более трёх лет назад
chupasaurus @chupasaurus
Дмитрий, зачем, включаете SSLv3,TLSv1.0 и
if $ssl_protocol = "SSLv3\|TLSv1" { return 301 http://$server_name$request_uri; }
. Но, как я уже писал, красивым это не назвать.
Написано более трёх лет назад
Дмитрий @helldweller Автор вопроса

Ну тут уже напрашивается утверждение "Хоть какой-то ssl лучше чем ничего")

Написано более трёх лет назад
Михаил Григорьев @Sleuthhound

Насколько я понимаю, т.к. tls соединение ниже по уровню, чем http я не смогу отправить http редирект юзеру на неустановленном соединении...

Дмитрий, не то что ниже, просто обмен данными по протоколу TLS/SSL происходит еще до начала HTTP соединения, поэтому ваш if $ssl_protocol = "SSLv3\|TLSv1" { } просто никогда не сработает, т.к. соединение рубится еще на этапе handshake.

Если хочется углубиться в эту тему, то рекомендую эту статью

Написано более трёх лет назад

Пригласить эксперта

Ответы на вопрос 1

2 комментария

CityCat4 @CityCat4 Куратор тега Цифровые сертификаты

Возможно ssl_ciphers настолько суров, что не оставляет вариантов клиенту. Было бы еще неплохо текст ошибки увидеть.

Написано более трёх лет назад

Дмитрий @helldweller Автор вопроса

Да, суров. Точнее актуален.
У клиентcкого допотопного приложения SSLv3/RC4-SHA
Даже win5.1 уже умеет TLSv1
Сделал пока так, соберу статистику по cipher'ам

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers ALL:!aNULL:!eNULL:@STRENGTH;

До этого было:

# ssl_protocols TLSv1.1 TLSv1.2; # Dropping SSLv3, ref: POODLE
# ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK;

Кстати посмотреть список отсортированный по строгости можно так:
openssl ciphers -V 'ALL:@STRENGTH'
Это я тем, кто еще интересуется данной темой.

Написано более трёх лет назад

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации

Похожие вопросы

Nginx

Простой
Запрос статичной картинки не зная формата?
- 1 подписчик
- 21 час назад
- 62 просмотра
1

ответ
Цифровые сертификаты

Простой
Как обновить сертификат через certbot (--manual)?
- 1 подписчик
- вчера
- 31 просмотр
2

ответа
PostgreSQL

+2 ещё

Простой
Где искать рекомендуемые настройки SSL-аутентификации для Docker-образа Posgres?
- 1 подписчик
- 17 апр.
- 59 просмотров
3

ответа
Цифровые сертификаты

+1 ещё

Средний
Какой SSL-сертификат лучше использовать для стэйджинга?
- 2 подписчика
- 17 апр.
- 112 просмотров
2

ответа
Nginx

Простой
Как настроить nginx forward proxy?
- 1 подписчик
- 16 апр.
- 97 просмотров
2

ответа
Nginx

Простой
Как не записывать в логи Nginx юзеров с юзер агентом yandex?
- 1 подписчик
- 13 апр.
- 91 просмотр
1

ответ
PHP

+2 ещё

Простой
Почему PHP-скрипт зависает/завершается на паузе (sleep)?
- 1 подписчик
- 11 апр.
- 121 просмотр
2

ответа
Linux

+1 ещё

Простой
Как расчитывать размеры кэшей и буферов в nginx?
- 3 подписчика
- 11 апр.
- 528 просмотров
1

ответ
Debian

+1 ещё

Простой
Где найти центр корневых сертификатов в Debian?
- 1 подписчик
- 10 апр.
- 50 просмотров
1

ответ
Сетевое администрирование

+4 ещё

Средний
Ошибка доступности сайта. Проблема с доменами. Как исправить?
- 1 подписчик
- 10 апр.
- 160 просмотров
1

ответ
Показать ещё Загружается…

Системный администратор

А5000 Event Solutions • Москва

от 100 000 до 150 000 ₽

Прикладной администратор SberApps

Сбер • Москва

от 230 000 ₽

Главный технолог-эксперт

УБРиР • Екатеринбург

от 108 000 до 108 000 ₽

Доработка аддона для Xenforo v2.2.13

20 апр. 2024, в 06:06

200 руб./за проект

Привязка к Маркетплейсам 1С Розница 2.3

20 апр. 2024, в 05:26

10000 руб./за проект

Дописать функцию на Flutter, работа с yandex map kit

20 апр. 2024, в 04:18

3000 руб./за проект

Как можно в случае неудачи подключения по https - сделать редирект на http?

Как можно в случае неудачи открытия сейфа по сложному паролю - открыть сейф без пароля?
Кому интересно, вот статистика за сутки по tls / cipher с таким конфигом:
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_ciphers ALL:!aNULL:!eNULL:@STRENGTH;

Top values TLSv1.2/ECDHE-RSA-AES128-GCM-SHA256 58.11% 13,035,267 TLSv1.2/ECDHE-RSA-AES256-GCM-SHA384 18.27% 4,099,063 TLSv1.2/ECDHE-RSA-AES256-SHA384 10.60% 2,378,524 TLSv1/AES256-SHA 5.99% 1,342,986 TLSv1/ECDHE-RSA-AES256-SHA 5.81% 1,303,399 Others TLSv1.2/ECDHE-RSA-AES256-SHA 1.03% 230,179 TLSv1/RC4-SHA 0.12% 26,693 TLSv1.1/ECDHE-RSA-AES256-SHA 0.06% 12,967 TLSv1.2/AES256-SHA256 0.00% 620 TLSv1/DES-CBC3-SHA 0.00% 518 TLSv1/ECDHE-RSA-AES128-SHA 0.00% 479 TLSv1/DHE-RSA-AES256-SHA 0.00% 249 TLSv1/AES128-SHA 0.00% 123 TLSv1.2/AES256-GCM-SHA384 0.00% 45 TLSv1.1/AES256-SHA 0.00% 42 TLSv1.2/AES256-SHA 0.00% 16 TLSv1.2/ECDHE-RSA-AES128-SHA256 0.00% 2

В моем случае вонь началась из-за TLSv1/RC4-SHA 0.12% =)
Доля https трафика составляет 64.59%

Answer 1 · 2017-11-20 09:47:40

chupasaurus @chupasaurus

Сею рефлекторное, злое, временное

$ssl_protocol: returns the protocol of an established SSL connection

Ответ написан более трёх лет назад

6 комментариев

Answer 2 · 2017-11-20 10:59:41

1. Напишите вывод команды
nginx -V

Возможно проблема в том, что у Вас nginx собран с openssl < 1.0.2 и как следствие нет поддержки ALPN, а браузер на ваших старых NT 5.1 наверняка новый, в котором уже нет поддержки NPN

2. Какие шифры сконфигурированы в nginx ? Напишите что у вас прописано в ssl_ciphers. Возможно Вы открываете ваш сайт в браузере, который не поддерживает тот набор шифров что прописан у Вас в nginx.
Протестируйте сайт на https://www.ssllabs.com/ssltest/index.html

P.S. Если бы Вы написали какая точно у вас версия Windows и какой браузер, то гадать бы пришлось меньше.

Как можно определить устаревшего ssl клиента и отправить его на http?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт