Keine gängigen Verschlüsselungsalgorithmen (ssl_error_no_cypher_overlap)

Meine Kunden melden diesen Fehler. Ich kann es nicht reproduzieren. Außerdem kann ich keine Fehler feststellen: http://www.digicert.com/ http://www.ssltest.net/ https://www.ssllabs.com/ssldb/ Alle melden dev.anuary.comein gültiges Zertifikat. Ich habe Google (ed) für ssl_error_no_cypher_overlap, aber keiner der Threads lieferte nützliche Anleitungen.

Cannot communicate securely with peer: no common encryption algorithm(s)

(Error code: ssl_error_no_cypher_overlap)

CentOS Release 6.2 (Final)
OpenSSL 1.0.0-20.el6_2.3
nginx 1.0.15-1.el6.ngx
Verwenden des Platzhalterzertifikats http://www.networksolutions.com/SSL-certificates/index.jsp Wildcard.

ssl openssl

— Gajus
quelle

Antworten:

Wie sich herausstellte, war das Problem:

Seit Version 1.0.5 verwendet nginx standardmäßig "ssl_protocols SSLv3 TLSv1" und "ssl_ciphers HIGH :! ANULL :! MD5"

( http://nginx.org/en/docs/http/configuring_https_servers.html#chains )

Ich habe Folgendes zu meinen Einstellungen hinzugefügt und es funktioniert.

ssl_protocols        SSLv3 TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers          HIGH:!aNULL:!MD5;

— Gajus
quelle

Ihre Clients waren also (ungewöhnlich) so eingestellt, dass sie nur TLSv1.1 und TLSv1.2 verwenden?

— cjc

Also, ich sehe das:

$ sslscan --no-failed dev.anuary.com
               _
       ___ ___| |___  ___ __ _ _ __
      / __/ __| / __|/ __/ _` | '_ \
      \__ \__ \ \__ \ (_| (_| | | | |
      |___/___/_|___/\___\__,_|_| |_|

              Version 1.8.2
         http://www.titania.co.uk
    Copyright Ian Ventura-Whiting 2009

Testing SSL server dev.anuary.com on port 443

  Supported Server Cipher(s):
    Accepted  TLSv1  256 bits  DHE-RSA-AES256-SHA
    Accepted  TLSv1  256 bits  AES256-SHA
    Accepted  TLSv1  128 bits  DHE-RSA-AES128-SHA
    Accepted  TLSv1  128 bits  AES128-SHA
    Accepted  TLSv1  168 bits  EDH-RSA-DES-CBC3-SHA
    Accepted  TLSv1  168 bits  DES-CBC3-SHA
    Accepted  TLSv1  128 bits  RC4-SHA

  Prefered Server Cipher(s):
    TLSv1  128 bits  RC4-SHA

Ist es möglich, dass der Client TLSv1 nicht ausführen kann?

— cjc
quelle

Dies wurde von Personen gemeldet, die Firefox 2. *, Firefox 3.6. * Und IE 8 verwenden.

— Gajus

Auf IE8 scheint es mir möglich zu sein, auf den 404 zuzugreifen, sodass die Verbindung im Hinblick auf die SSL-Aushandlung erfolgreich ist. Wenn ich TLSv1 in den Internetoptionen deaktiviere, wird ein Verbindungsfehler angezeigt. Ist es möglich, dass die Benutzer TLSv1 aus irgendeinem Grund deaktiviert haben? Befinden sie sich hinter einer SSL-Appliance, die möglicherweise TLSv1 deaktiviert hat?

— cjc

FWIW, mail.google.com unterstützt weiterhin SSLv3. Gibt es einen Grund, warum Sie sich auf TLSv1 beschränkt haben?

— cjc

Ist dies etwas, das ich festgelegt habe, oder ist es etwas, das mit meinem SSL-Zertifikat geliefert wird und das ich nicht ändern kann? Wenn es das erstere ist, welche Einstellungen sollte ich ändern.

— Gajus

Nebenbei bemerkt, wenn ich meine Website mit network4all.com/en/support/tools/site+check/report/… überprüft habe, heißt es No connection upgrade to 128-bit for old browsers. Ich frage mich, wie ich das ermöglichen kann.

— Gajus