Score:1

IIS ให้บริการใบรับรองที่ไม่ถูกต้องโดยใช้ SNI หรือ CCS

ธง bd

ฉันมี 3 เว็บไซต์ทั้งหมดที่ใช้ IP เดียวกันใน IIS 10 ก่อนอื่นฉันตั้งค่าการเชื่อมโยง https เพื่อใช้ SNI กับที่อยู่ IP 'ทั้งหมดที่กำหนด' บนพอร์ต 443 โดยใช้ใบรับรองที่ถูกต้อง ใบรับรองทั้งหมดเป็นที่รู้จักกันดีมีเพียงเว็บไซต์เดียวเท่านั้นที่ได้รับใบรับรอง SSL ที่ถูกต้อง อีกสองคนได้รับใบรับรองเดียวกันกับที่ทำงาน ก็เลยเปลี่ยนมาใช้ CCS โหลดใบรับรองทั้งหมดของฉันในโฟลเดอร์เดียวกันด้วยชื่อที่ถูกต้อง เปลี่ยนไซต์จาก SNI เป็น CCS ยังคงมีเพียงไซต์เดียวเท่านั้นที่ใช้งานได้ พยายามล้างแคชไคลเอ็นต์ อย่างไรก็ตาม ทั้งหมดนี้ใช้งานได้ดีเป็นเวลาหลายเดือนจนถึงสุดสัปดาห์ที่ผ่านมา และฉันไม่ได้ทำการเปลี่ยนแปลงใด ๆ กับเซิร์ฟเวอร์ อาจได้รับการอัพเดต Windows 2019 ข้อเสนอแนะเกี่ยวกับสิ่งที่ฉันสามารถทำได้ต่อไป? นี่คือผลลัพธ์สุทธิ ไซต์ที่ใช้งานได้มีใบรับรองตัวแทนจาก Sectigo อีกสองคนมาจาก Let's Encrypt ชื่อโดเมนทั้งสามมีความแตกต่างกัน

IP:พอร์ต : 0.0.0.0:8172
แฮชใบรับรอง: d97778af0d232c0c2494eee481df37e5127425c9
รหัสแอปพลิเคชัน : {00000000-0000-0000-0000-000000000000}
ชื่อร้านใบรับรอง : MY
ตรวจสอบการเพิกถอนใบรับรองไคลเอนต์ : เปิดใช้งาน
ตรวจสอบการเพิกถอนโดยใช้ Cached Client Certificate เท่านั้น : ปิดใช้งาน
ตรวจสอบการใช้งาน : เปิดใช้งาน
เวลาความสดของการเพิกถอน : 0
หมดเวลาการดึง URL : 0
ตัวระบุ Ctl : (null)
ชื่อร้าน Ctl : (null)
การใช้งาน DS Mapper : ปิดใช้งาน
เจรจาใบรับรองไคลเอนต์ : ปิดใช้งาน
ปฏิเสธการเชื่อมต่อ : ปิดใช้งาน
ปิดใช้งาน HTTP2 : ไม่ได้ตั้งค่า
ปิดใช้งาน QUIC : ไม่ได้ตั้งค่า
ปิดใช้งาน TLS1.2 : ไม่ได้ตั้งค่า
ปิดใช้งาน TLS1.3 : ไม่ได้ตั้งค่า
ปิดใช้งานการเย็บเล่ม OCSP : ไม่ได้ตั้งค่า
ปิดใช้งานเวอร์ชัน TLS เดิม: ไม่ได้ตั้งค่า

IP:พอร์ต : 192.168.20.34:443
แฮชใบรับรอง: 211a5fb41e576e85c023f68452d77a91fc13b1eb
รหัสแอปพลิเคชัน : {4dc3e181-e14b-4a21-b022-59fc669b0914}
ชื่อร้านค้าใบรับรอง : My
ตรวจสอบการเพิกถอนใบรับรองไคลเอนต์ : เปิดใช้งาน
ตรวจสอบการเพิกถอนโดยใช้ Cached Client Certificate เท่านั้น : ปิดใช้งาน
ตรวจสอบการใช้งาน : เปิดใช้งาน
เวลาความสดของการเพิกถอน : 0
หมดเวลาการดึง URL : 0
ตัวระบุ Ctl : (null)
ชื่อร้าน Ctl : (null)
การใช้งาน DS Mapper : ปิดใช้งาน
เจรจาใบรับรองไคลเอนต์ : ปิดใช้งาน
ปฏิเสธการเชื่อมต่อ : ปิดใช้งาน
ปิดใช้งาน HTTP2 : ไม่ได้ตั้งค่า
ปิดใช้งาน QUIC : ไม่ได้ตั้งค่า
ปิดใช้งาน TLS1.2 : ไม่ได้ตั้งค่า
ปิดใช้งาน TLS1.3 : ไม่ได้ตั้งค่า
ปิดใช้งานการเย็บเล่ม OCSP : ไม่ได้ตั้งค่า
ปิดใช้งานเวอร์ชัน TLS เดิม: ไม่ได้ตั้งค่า

ที่เก็บใบรับรองกลาง : 443
แฮชใบรับรอง : (null)
รหัสแอปพลิเคชัน : {4dc3e181-e14b-4a21-b022-59fc669b0914}
ชื่อที่เก็บใบรับรอง : (null)
ตรวจสอบการเพิกถอนใบรับรองไคลเอนต์ : เปิดใช้งาน
ตรวจสอบการเพิกถอนโดยใช้ Cached Client Certificate เท่านั้น : ปิดใช้งาน
ตรวจสอบการใช้งาน : เปิดใช้งาน
เวลาความสดของการเพิกถอน : 0
หมดเวลาการดึง URL : 0
ตัวระบุ Ctl : (null)
ชื่อร้าน Ctl : (null)
การใช้งาน DS Mapper : ปิดใช้งาน
เจรจาใบรับรองไคลเอนต์ : ปิดใช้งาน
ปฏิเสธการเชื่อมต่อ : ปิดใช้งาน
ปิดใช้งาน HTTP2 : ไม่ได้ตั้งค่า
ปิดใช้งาน QUIC : ไม่ได้ตั้งค่า
ปิดใช้งาน TLS1.2 : ไม่ได้ตั้งค่า
ปิดใช้งาน TLS1.3 : ไม่ได้ตั้งค่า
ปิดใช้งานการเย็บเล่ม OCSP : ไม่ได้ตั้งค่า
ปิดใช้งานเวอร์ชัน TLS เดิม: ไม่ได้ตั้งค่า
Lex Li avatar
vn flag
คุณตรวจสอบการตั้งค่า Windows HTTP API ผ่าน 'netsh' หรือไม่
dcol avatar
bd flag
ใช่ พวกเขาทั้งหมดดูดีโดยใช้ 'netsh http show sslcert'
Lex Li avatar
vn flag
แล้วถ้าคุณแก้ไขไฟล์ `hosts` บนเซิร์ฟเวอร์นั้น (เพื่อเลียนแบบสามโดเมนในเครื่อง) และทดสอบทั้งสามไซต์ด้วยเบราว์เซอร์บนเซิร์ฟเวอร์เองล่ะ ที่ให้ข้อผิดพลาดเดียวกันหรือไม่
dcol avatar
bd flag
พยายามที่ สิ่งที่ฉันทำคือย้ายไซต์เหล่านั้นไปยัง IP ใหม่บนเซิร์ฟเวอร์เดียวกัน ตอนนี้พวกเขาทำงาน ฉันไม่สามารถใช้ IP เดียวกันสำหรับทั้งสามไซต์แม้ว่าจะมี SNI หรือ CCS ก็ตาม
Michael Hampton avatar
cz flag
ซึ่งขัดต่อวัตถุประสงค์ทั้งหมดของ SNI ซึ่งก็คือการอนุญาตให้ไซต์ HTTPS หลายแห่งใช้ IP เดียวกันได้ ยังมีปัญหาอยู่ที่นี่ ฉันเป็นผู้ดูแลระบบ Linux ดังนั้นฉันจึงไม่สามารถบอกคุณได้ว่ามันคืออะไร ใครบางคนควรจะสามารถทำเช่นนั้นได้
Lex Li avatar
vn flag
@dcol "ลองแล้ว" ผลลัพธ์เป็นอย่างไร อย่างไรก็ตาม เนื่องจากการเปลี่ยนที่อยู่ IP ในการผูกสามารถแก้ปัญหาได้ ฉันเดาว่าคุณมีบางอย่างผิดปกติในการตั้งค่า DNS แต่ยังไม่ทราบว่าปัญหาดังกล่าวเกิดขึ้นได้อย่างไร ถ้าฉันเป็นคุณ ฉันควรจะจับแพ็กเก็ต TLS handshake และวิเคราะห์เพิ่มเติมเพื่อเรียนรู้สาเหตุ (แพ็กเก็ต handshake มีข้อมูลเพียงพอว่า SNI/CCS ควรตอบสนองอย่างไร) แต่อย่างน้อยตอนนี้คุณก็พบวิธีแก้ปัญหาแล้ว

โพสต์คำตอบ

คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา