可以强制Firefox使用ssl而不是tls

时间：2017-07-05 00:07:19

标签： ssl firefox https tls1.2 csr

我想强制firefox 56使用ssl而不是tls1.2尽管SSL 3.0 is considered unsafe。 我打算产生像...no overlap ...这样的错误。并截取此错误的屏幕截图。

关于about：config 的

偏好设置

根据我对firefox docs for security.tls.version*我已经设定的

的理解
  • security.tls.version.min = 0和
  • security.tls.version.max = 1

security.tls.version*的文档也指出：

  

这些首选项会替换已弃用的security.enable_ssl3和   security.enable_tls布尔值设置。升级后，旧的   首选项不会自动迁移。

所以我检查了弃用的偏好可能与我上面的设置有冲突。但我的Firefox 56安装没有以security.enable_开头的首选项。所以我似乎不必担心任何弃用的设置。

其他原因可能是

证书是原因

该网站使用具有以下特征的证书：

  

与此站点的连接使用强协议（TLS 1.2），a   过时的密钥交换（RSA）和过时的密码（AES_256_CBC with   HMAC-SHA1）。

在阅读this reply后，我认为所使用的密码不是TLSV1的一部分，但运行以下命令似乎证明所使用的密码是SSL3支持的密码。 

openssl ciphers -v 'TLSv1' | grep "AES" | grep "256" | grep "CBC" | sort
// output
PSK-AES256-CBC-SHA      SSLv3 Kx=PSK      Au=PSK  Enc=AES(256)  Mac=SHA1
SRP-AES-256-CBC-SHA     SSLv3 Kx=SRP      Au=SRP  Enc=AES(256)  Mac=SHA1
SRP-DSS-AES-256-CBC-SHA SSLv3 Kx=SRP      Au=DSS  Enc=AES(256)  Mac=SHA1
SRP-RSA-AES-256-CBC-SHA SSLv3 Kx=SRP      Au=RSA  Enc=AES(256)  Mac=SHA1

更新

HSTS - Strict-Transport-Security HTTP响应头字段

这个问题Is firefox disabling of insecure TLS fallback part of the HSTS spec可能有关系。

HTTP Strict Transport Security chapter 5.1（HSTS - rfc 6797）包含

  

HTTP主机通过向UA发布HSTS来声明自己是HSTS主机   政策，由中国人代表并通过   Strict-Transport-Security HTTP响应头字段超过安全
  传输

相关网站包含其他标题字段

p3p: CP="NON CUR OTPi OUR NOR UNI"
vary: Accept-Encoding
x-frame-options: SAMEORIGIN
x-content-type-options: nosniff
cache-control: max-age=315360000, public
expires: Sat, 03 Jul 2027 00:48:12 GMT
x-xss-protection: 1; mode=block
strict-transport-security: max-age=31536000; includeSubDomains

问题（tl; dr）

  1. 似乎从50及以上版本的firefox不能强制使用ssl3。是这样的吗？如果不能如何实现？

  2. 据我了解，certificate signing request (CSR)是获取证书的第一步。 CSR是否已包含以后必须在https连接中使用的密码和协议？

    3. 另见

2 个答案:

答案 0 :(得分：1)

好的，所以我理解你想在Firefox中启用SSL的原因是截取屏幕截图所以如果关闭它，你会看到错误信息的类型并能够向用户解释问题吗？我建议这不是对你的时间的建设性使用。

Firefox禁用SSLv3 by default in Firefox 34 - 在撰写本文时已超过20个版本（尽管仅在3年前）。因此，即使您可以以某种方式在当前版本中重新启用它，错误消息可能与该版本中的内容完全不同。

因此，如果您真的想要这样做，那么您可以更好地检查支持该版本的浏览器版本，而不是试图破解当前版本。如果您无法访问旧浏览器，那么像BrowserStack这样的网站可以为此提供帮助。但即便如此，它也可能会根据用户使用的版本而改变。

此外Firefox从一开始就支持TLSv1.0，所以你真的不必担心关闭SSLv3，至少对你的Firefox用户来说如此。也许你需要担心关闭TLSv1.0为TLSv1.2 was only enabled in version 27 (released in February 2014)，我们会稍微考虑一下，但我真的不担心为你的Firefox用户禁用SSLv3。 / p>

事实上，今天使用的所有浏览器都支持TLSv1.0（handy chart here），并且任何不具备大多数网站的浏览器可能会遇到更大的问题，除非它们真的只是纯文本网站或者你是真的，非常好的渐进增强。

因此请关闭SSLv3 - it's insecure and should not be used。另一种方法是让100％的用户面临使用古代浏览器的大多数用户的风险。是的浏览器应该使用最高版本的TLS而不是SSL，如果它们支持它，但各种降级攻击可能会无意中导致不是这种情况。最安全的选择是禁用它。我通常不会选择绝对值，并且通常会建议您测量您的使用情况，但绝大多数禁用SSLv3的网站都应该这样做。即使Google has disabled SSLv3用于他们的网站，如果他们可以做到这一点，那么您可以确定它是安全的。

如果您收到投诉，那么错误消息可能会说“＆＃34;安全连接失败＆＃34;有协议错误。 https://badssl.com/是一个非常方便的网站，用于测试错误的SSL / TLS配置，但不幸的是它没有SSLv3的示例。

接下来将关闭TLSv1.0并且它将不那么容易，因为浏览器需要更长的时间才能实现更高版本（特别是在版本11之前无法可靠地获得TLSv1.2的Internet Explorer）。 TLSv1.0还没有被打破，但它正在走出困境，像PCI-DSS这样的标准要求尽快关闭它（尽管they've pushed back on the date for this at least once）。如果你想在firefox中测试这个，这很简单，只需设置security.tls.version.max = 1并访问仅限https://tfl.gov.uk/的TLSv1.1或TLSv1.2网站，你会看到以下消息（这可能类似于你的SSLv3访问者会看到而不是您在答案中显示的密码错误：

  

连接到tfl.gov.uk期间发生错误。同行报道   不兼容或不支持的协议版本。错误代码：   SSL_ERROR_PROTOCOL_VERSION_ALERT

Firefox TLSv1.2 error

我还建议您添加日志记录到您的网络服务器日志以跟踪所使用的TLS版本，以便您可以决定何时关闭协议或密码。例如，Nginx和Apache相当容易，但如果使用其他Web服务器，或者您的Web服务器前面有负载均衡器来处理您的TLS，那么需要查看它们是否允许这样做

最后回答你的第二个问题，没有CSR没有定义协议，也没有定义使用的密码。这取决于服务器和客户端都支持的组合。理想情况下，服务器应该强制执行更安全的协议和密码而不是弱密码。

协议（SSLv3，TLSv1.0 ......等）是如何建立HTTPS连接以及如何决定密码的。密码是用于实际加密连接的密码。因为这些密码不限于它们最初引入的协议，并且无论您使用的是SSLv3，TLSv1.0，TLSv1.1还是TLSv1.2，PSK-AES256-CBC-SHA都可用。 TLSv1.3（即将发布）是第一个尝试主动删除旧密码而不是继续扩展列表的版本。

有一段时间以来，Chrome已经对较旧的密码套件发出了轻微的警告（基本上是那些在密码套件名称中没有使用GCM的警告，尽管有一些不太常见但也认为安全的密码套件），这就是为什么你看到＆ ＃34;与此站点的连接使用...过时的密钥交换（RSA）和过时的密码（带有HMAC-SHA1的AES_256_CBC）。＆＃34;信息。 SSLLabs Server Test tool是检查您的服务器设置的最佳工具，我建议将其与其他网站进行比较以获得A等级，这应该会让您在一段时间内保持良好状态（我建议您每季度重新扫描以跟上安全领域的变化 - 例如SSLv3被发现是不安全的。对于最常见的浏览器，Mozilla也有一个非常方便的SSL/TLS config generator。

HSTS（或HTTP Strict Transport Security）确实没有禁止此对话。它只是声明客户端必须为站点使用HTTPS，不应使用纯HTTP。当然，这取决于能够建立安全的HTTPS连接。如果您的某些网站或域尚未移植到HTTPS，这可能是一个危险的选项。

答案 1 :(得分：0)

问题1的答案：强制firefox使用弱加密

我无法强制使用当前的firefox（第54版）来使用弱加密。正如this reddit thread suggested我已下载Firefox 30.0 portable from sourceforge并在设置security.tls.version.max = 1后能够强制执行所需的错误Firefox Secure connection failed: ssl_error_no_cypher_overlap

这是我追随的截图：

Firefox Secure connection failed: ssl_error_no_cypher_overlap

问题2：CSR是否已包含必须使用的密码和协议？

这对我来说还不清楚。

相关问题
最新问题