Wenn ein Problem auftritt, bei dem der Zugriff auf eine bestimmte Website fehlschlägt und eine Meldung in Ihrem Browser angezeigt wird, gibt es dafür eine vernünftige Erklärung. Die Ursachen und Lösungen des Problems finden Sie in diesem Artikel.

SSL TLS-Protokoll

Benutzer von Haushaltsorganisationen, und nicht nur Haushaltsorganisationen, deren Aktivitäten in direktem Zusammenhang mit Finanzen stehen, führen in Zusammenarbeit mit Finanzorganisationen, z. B. dem Finanzministerium, dem Finanzministerium usw., alle ihre Operationen ausschließlich mit dem sicheren SSL-Protokoll durch . Grundsätzlich verwenden sie bei ihrer Arbeit den Browser Internet Explorer. In einigen Fällen Mozilla Firefox.

SSL-Fehler

Das Hauptaugenmerk bei der Durchführung dieser Operationen und der Arbeit im Allgemeinen gilt dem Schutzsystem: Zertifikate, elektronische Signaturen. Für die Arbeit wird die Software CryptoPro in der aktuellen Version verwendet. Hinsichtlich Probleme mit SSL- und TLS-Protokollen, wenn SSL-Fehler erschienen ist, gibt es höchstwahrscheinlich keine Unterstützung für dieses Protokoll.

TLS-Fehler

TLS-Fehler in vielen Fällen kann es auch auf mangelnde Unterstützung für das Protokoll hinweisen. Aber ... mal sehen, was in diesem Fall getan werden kann.

Unterstützung für SSL- und TLS-Protokolle

Wenn Sie also Microsoft Internet Explorer verwenden, um eine Website über SSL zu besuchen, wird die Titelleiste angezeigt Stellen Sie sicher, dass SSL und TLS aktiviert sind. Zunächst müssen Sie die Unterstützung für das TLS 1.0-Protokoll im Internet Explorer aktivieren.

Wenn Sie eine Website besuchen, auf der Internet Information Services 4.0 oder höher ausgeführt wird, hilft die Konfiguration von Internet Explorer zur Unterstützung von TLS 1.0, Ihre Verbindung zu sichern. Vorausgesetzt natürlich, dass der Remote-Webserver, den Sie verwenden möchten, dieses Protokoll unterstützt.

Dazu das Menü Service eine Mannschaft auswählen Internet Optionen.

Auf der Registerkarte Zusätzlich Im Kapitel Sicherheit, vergewissern Sie sich, dass die folgenden Kontrollkästchen aktiviert sind:

• Verwenden Sie SSL 2.0
• Verwenden Sie SSL 3.0
• Verwenden Sie SSL 1.0

Drück den Knopf Sich bewerben , Und danach OK . Starten Sie Ihren Browser neu .

Versuchen Sie nach der Aktivierung von TLS 1.0 erneut, die Website zu besuchen.

Systemsicherheitsrichtlinie

Falls es noch welche gibt Fehler mit SSL und TLS Wenn Sie SSL immer noch nicht verwenden können, unterstützt der Remote-Webserver TLS 1.0 wahrscheinlich nicht. In diesem Fall müssen Sie die Systemrichtlinie deaktivieren, die FIPS-konforme Algorithmen erfordert.

Dazu im Bedienfelder auswählen Verwaltung, und doppelklicken Sie dann Lokale Sicherheitsrichtlinie.

Erweitern Sie in den lokalen Sicherheitseinstellungen node Lokale Richtlinien, und klicken Sie dann auf die Schaltfläche Sicherheitsoptionen.

Doppelklicken Sie gemäß der Richtlinie auf der rechten Seite des Fensters Systemkryptografie: Verwenden Sie FIPS-konforme Algorithmen für Verschlüsselung, Hashing und Signierung, und klicken Sie dann auf die Schaltfläche Deaktiviert.

Aufmerksamkeit!

Die Änderung wird wirksam, nachdem die lokale Sicherheitsrichtlinie erneut angewendet wurde. Schalten Sie es ein, starten Sie Ihren Browser neu.

CryptoPro TLS-SSL

Aktualisieren Sie CryptoPro

Eine der Möglichkeiten zur Lösung des Problems ist die Aktualisierung von CryptoPro sowie die Einrichtung einer Ressource. In diesem Fall handelt es sich um die Arbeit mit elektronischen Zahlungen. Gehen Sie zur Zertifizierungsstelle. Wählen Sie für die Ressource E-Marketplaces aus.

Nach dem Start der automatischen Arbeitsplatzeinrichtung gibt es nur noch warten Sie, bis der Vorgang abgeschlossen ist, wonach Starte den Browser neu. Wenn Sie eine Ressourcenadresse eingeben oder auswählen müssen, wählen Sie die gewünschte aus. Möglicherweise müssen Sie Ihren Computer auch neu starten, nachdem die Einrichtung abgeschlossen ist.

Im Oktober veröffentlichten Google-Ingenieure Informationen über eine kritische Schwachstelle in SSL-Version 3.0 mit komischem namen PUDEL(Auffüllen von Oracle auf heruntergestufter Legacy-Verschlüsselung oder Poodle 🙂). Die Schwachstelle ermöglicht es einem Angreifer, sich mit einem „Man-in-the-Middle“-Angriff Zugang zu Informationen zu verschaffen, die mit dem SSLv3-Protokoll verschlüsselt sind. Schwachstellen betreffen sowohl Server als auch Clients, die eine Verbindung über das SSLv3-Protokoll herstellen können.

Im Allgemeinen ist die Situation nicht überraschend, weil. Protokoll SSL 3.0, erstmals 1996 vorgestellt, ist bereits 18 Jahre alt und moralisch überholt. In den meisten praktischen Aufgaben wurde es bereits durch ein kryptografisches Protokoll ersetzt TLS(Versionen 1.0, 1.1 und 1.2).

Zum Schutz vor der POODLE-Schwachstelle wird dies uneingeschränkt empfohlen Deaktivieren Sie die SSLv3-Unterstützung sowohl auf der Client- als auch auf der Serverseite und dann nur TLS verwenden. Für Benutzer älterer Software (z. B. Benutzer von IIS 6 unter Windows XP) bedeutet dies, dass sie keine HTTPS-Seiten mehr anzeigen und andere SSL-Dienste nicht mehr verwenden können. Für den Fall, dass die SSLv3-Unterstützung nicht vollständig deaktiviert ist und standardmäßig eine stärkere Verschlüsselung angeboten wird, tritt die POODLE-Schwachstelle weiterhin auf. Dies liegt an den Besonderheiten der Wahl und Aushandlung des Verschlüsselungsprotokolls zwischen Client und Server, denn Wenn Probleme bei der Verwendung von TLS erkannt werden, erfolgt automatisch ein Übergang zu SSL.

Wir empfehlen Ihnen, alle Ihre Dienste zu überprüfen, die SSL / TLS in irgendeiner Form verwenden können, und die Unterstützung für SSLv3 zu deaktivieren. Sie können Ihren Webserver beispielsweise mit einem Online-Test auf Schwachstellen überprüfen: http://poodlebleed.com/.

Notiz. Es muss klar sein, dass das Deaktivieren von SSL v3 auf Systemebene nur für Software funktioniert, die System-APIs für die SSL-Verschlüsselung verwendet (Internet Explorer, IIS, SQL NLA, RRAS usw.). Programme, die eigene Krypto-Tools verwenden (Firefox, Opera etc.), müssen individuell aktualisiert und konfiguriert werden.

Deaktivieren Sie SSLv3 in Windows auf Systemebene

Unter Windows wird die SSL/TLS-Unterstützung über die Registrierung verwaltet.

In diesem Beispiel zeigen wir, wie SSLv3 auf Systemebene (sowohl auf Client- als auch auf Serverebene) in Windows Server 2012 R2 vollständig deaktiviert wird:

Deaktivieren Sie SSLv2 (Windows 2008 / Server und niedriger)

In Betriebssystemen vor Windows 7 / Windows Server 2008 R2 wird standardmäßig ein noch weniger sicheres und veraltetes Protokoll verwendet SSLv2, die aus Sicherheitsgründen ebenfalls deaktiviert werden sollte (bei neueren Windows-Versionen ist SSLv2 auf Client-Ebene standardmäßig deaktiviert und es werden nur SSLv3 und TLS1.0 verwendet). Um SSLv2 zu deaktivieren, müssen Sie das obige Verfahren nur für den Registrierungsschlüssel wiederholen SSL 2.0.

In Windows 2008/2012 ist SSLv2 auf Clientebene standardmäßig deaktiviert.

Aktivieren Sie TLS 1.1 und TLS 1.2 auf Windows Server 2008 R2 und höher

Windows Server 2008 R2 / Windows 7 und höher unterstützen die Verschlüsselungsalgorithmen TLS 1.1 und TLS 1.2, aber diese Protokolle sind standardmäßig deaktiviert. Sie können die Unterstützung für TLS 1.1 und TLS 1.2 in diesen Versionen von Windows mit einem ähnlichen Szenario aktivieren

Dienstprogramm zum Verwalten von kryptografischen Systemprotokollen in Windows Server

Es gibt ein kostenloses IIS Crypto-Dienstprogramm, mit dem Sie die Parameter kryptografischer Protokolle in Windows Server 2003, 2008 und 2012 bequem verwalten können. Mit diesem Dienstprogramm können Sie jedes der Verschlüsselungsprotokolle mit nur zwei Klicks aktivieren oder deaktivieren.

Das Programm verfügt bereits über mehrere Vorlagen, mit denen Sie schnell Voreinstellungen für verschiedene Optionen für Sicherheitseinstellungen anwenden können.

TLS ist der Nachfolger von SSL, einem Protokoll, das eine zuverlässige und sichere Verbindung zwischen Knoten im Internet bereitstellt. Es wird bei der Entwicklung verschiedener Clients verwendet, darunter Browser und Client-Server-Anwendungen. Was ist TLS im Internet Explorer?

Ein bisschen über Technik

Alle Unternehmen und Organisationen, die an Finanztransaktionen beteiligt sind, verwenden dieses Protokoll, um das Abhören von Paketen und den unbefugten Zugriff durch Eindringlinge auszuschließen. Diese Technologie soll wichtige Verbindungen vor böswilligen Angriffen schützen.

Grundsätzlich verwenden sie in ihrer Organisation den eingebauten Browser. In einigen Fällen Mozilla Firefox.

Aktivieren oder deaktivieren Sie ein Protokoll

Auf einige Websites kann manchmal nicht zugegriffen werden, da die Unterstützung für SSL- und TLS-Technologien deaktiviert ist. Im Browser erscheint eine Benachrichtigung. Wie ermöglichen Sie es Protokollen also, weiterhin sichere Kommunikation zu verwenden?
1.Öffnen Sie die Systemsteuerung über Start. Eine andere Möglichkeit: Öffnen Sie den Explorer und klicken Sie auf das Zahnradsymbol in der oberen rechten Ecke.

2.Gehen Sie zum Abschnitt "Internetoptionen" und öffnen Sie den Block "Erweitert".

3. Aktivieren Sie die Kontrollkästchen neben „TLS 1.1 und TLS 1.2 verwenden“.

4. Klicken Sie auf OK, um Ihre Änderungen zu speichern. Wenn Sie die Protokolle deaktivieren möchten, wovon dringend abgeraten wird, insbesondere wenn Sie Internet-Banking verwenden, deaktivieren Sie dieselben Elemente.

Was ist der Unterschied zwischen 1.0 und 1.1 und 1.2? 1.1 ist nur eine leicht verbesserte Version von TLS 1.0, das seine Mängel teilweise geerbt hat. 1.2 ist die sicherste Version des Protokolls. Andererseits können nicht alle Websites mit dieser aktivierten Protokollversion geöffnet werden.

Wie Sie wissen, ist der Skype-Messenger als Windows-Komponente direkt mit dem Internet Explorer verwandt. Wenn Sie das TLS-Protokoll in den Einstellungen nicht aktiviert haben, kann es zu Problemen mit Skype kommen. Das Programm kann einfach keine Verbindung zum Server herstellen.

Wenn die TLS-Unterstützung in den Internet Explorer-Einstellungen deaktiviert ist, funktionieren alle netzwerkbezogenen Funktionen des Programms nicht. Außerdem hängt die Sicherheit Ihrer Daten von dieser Technologie ab. Vernachlässigen Sie es nicht, wenn Sie in diesem Browser Finanztransaktionen durchführen (Einkaufen in Online-Shops, Geldüberweisungen über Online-Banking oder eine elektronische Geldbörse usw.).

Problem

Beim Versuch, das persönliche Konto des GIIS "Elektronischer Haushalt" einzugeben, wird eine Fehlermeldung angezeigt:

Diese Seite kann nicht angezeigt werden

Aktivieren Sie die Protokolle TLS 1.0, TLS 1.1 und TLS 1.2 im Abschnitt Erweiterte Einstellungen und versuchen Sie erneut, eine Verbindung zur Webseite https://ssl.budgetplan.minfin.ru herzustellen. Wenn der Fehler weiterhin besteht, wenden Sie sich an den Website-Administrator.

Lösung

Es ist notwendig, die Arbeitsplatzeinstellungen gemäß dem Dokument zu überprüfen.

Die Anleitung erwähnt ein paar Dinge nicht:

1. Sie müssen installieren CryptoPro EDS-Browser-Plugin und testen Sie es auf der Demo-Seite.
2. Es ist notwendig, die SSL / TLS-Protokollfilterung in den Antivireneinstellungen zu deaktivieren, d. h. für die gesuchte Website sollten Sie eine Ausnahme für die Überprüfung einer sicheren Verbindung machen. In verschiedenen Antivirenprogrammen kann es unterschiedlich genannt werden. In Kaspersky Free müssen Sie beispielsweise gehen „Einstellungen > Erweitert > Netzwerk > Sichere Verbindungen nicht scannen“ .

Das TLS-Protokoll verschlüsselt alle Arten von Internetverkehr und macht so die Kommunikation und den Verkauf im Internet sicher. Wir werden darüber sprechen, wie das Protokoll funktioniert und was uns in Zukunft erwartet.

Aus dem Artikel erfahren Sie:

Was ist SSL

SSL oder Secure Sockets Layer war der ursprüngliche Name für ein Protokoll, das Mitte der 90er Jahre von Netscape entwickelt wurde. SSL 1.0 war nie öffentlich verfügbar und Version 2.0 wies schwerwiegende Mängel auf. Das 1996 veröffentlichte Protokoll SSL 3.0 wurde komplett überarbeitet und gab den Ton für die nächste Entwicklungsstufe an.

Was ist TLS

Als die nächste Version des Protokolls 1999 veröffentlicht wurde, wurde es von einer eigenen Internet Design Working Group standardisiert und erhielt einen neuen Namen: Transport Layer Security oder TLS. Wie die TLS-Dokumentation sagt, „ist der Unterschied zwischen diesem Protokoll und SSL 3.0 nicht kritisch“. TLS und SSL bilden eine ständig aktualisierte Reihe von Protokollen und werden oft unter dem Namen SSL/TLS in einen Topf geworfen.

Das TLS-Protokoll verschlüsselt Internetverkehr jeglicher Art. Der häufigste Typ ist Web-Traffic. Dass Ihr Browser eine TLS-Verbindung aufbaut, erkennen Sie daran, dass der Link in der Adresszeile mit „https“ beginnt.

TLS wird auch von anderen Anwendungen wie Mail- und Telefonkonferenzsystemen verwendet.

Wie TLS funktioniert

Verschlüsselung ist notwendig, um sicher im Internet zu kommunizieren. Wenn Ihre Daten nicht verschlüsselt sind, kann jeder sie analysieren und vertrauliche Informationen lesen.

Die sicherste Verschlüsselungsmethode ist asymmetrische Verschlüsselung. Dazu sind 2 Schlüssel erforderlich, 1 öffentlicher und 1 privater. Dies sind Dateien mit Informationen, meist sehr große Zahlen. Der Mechanismus ist komplex, aber um es einfach auszudrücken: Sie können den öffentlichen Schlüssel verwenden, um die Daten zu verschlüsseln, aber Sie benötigen den privaten Schlüssel, um sie zu entschlüsseln. Die beiden Schlüssel sind mit einer komplexen mathematischen Formel verknüpft, die schwer zu hacken ist.

Sie können sich den öffentlichen Schlüssel als Information über den Ort eines geschlossenen Briefkastens mit einem Loch vorstellen und den privaten Schlüssel als den Schlüssel, der den Briefkasten öffnet. Jeder, der weiß, wo die Kiste ist, kann einen Brief hineinwerfen. Aber um es zu lesen, braucht eine Person einen Schlüssel, um die Kiste zu öffnen.

Da die asymmetrische Verschlüsselung komplexe mathematische Berechnungen verwendet, erfordert sie viele Rechenressourcen. TLS löst dieses Problem, indem nur zu Beginn einer Sitzung eine asymmetrische Verschlüsselung verwendet wird, um die Kommunikation zwischen dem Server und dem Client zu verschlüsseln. Server und Client müssen sich auf einen einzigen Sitzungsschlüssel einigen, mit dem beide Datenpakete verschlüsseln.

Der Prozess, bei dem sich Client und Server auf einen Sitzungsschlüssel einigen, wird aufgerufen Händedruck. Das ist der Moment, in dem sich 2 kommunizierende Computer einander vorstellen.

TLS-Handshake-Prozess

Der TLS-Handshake-Prozess ist ziemlich komplex. Die folgenden Schritte zeigen den Prozess im Allgemeinen, damit Sie verstehen, wie er im Allgemeinen funktioniert.

1. Der Client kontaktiert den Server und fordert eine sichere Verbindung an. Der Server antwortet mit einer Verschlüsselungsliste – einem algorithmischen Satz zum Herstellen verschlüsselter Verbindungen – die er zu verwenden weiß. Der Client vergleicht die Liste mit seiner Liste der unterstützten Chiffren, wählt die passende aus und teilt dem Server mit, welche sie zusammen verwenden werden.
2. Der Server stellt sein digitales Zertifikat bereit – ein von einem Dritten signiertes elektronisches Dokument, das die Authentizität des Servers bestätigt. Die wichtigste Information im Zertifikat ist der öffentliche Schlüssel zur Chiffre. Der Client authentifiziert das Zertifikat.
3. Unter Verwendung des öffentlichen Schlüssels des Servers richten der Client und der Server einen Sitzungsschlüssel ein, den sie beide während der gesamten Sitzung verwenden, um die Kommunikation zu verschlüsseln. Dafür gibt es mehrere Methoden. Der Client kann mit dem öffentlichen Schlüssel eine beliebige Nummer verschlüsseln, die dann zur Entschlüsselung an den Server gesendet wird, und beide Parteien verwenden diese Nummer dann, um einen Sitzungsschlüssel zu erstellen.

Der Sitzungsschlüssel ist nur für eine fortlaufende Sitzung gültig. Wenn die Kommunikation zwischen Client und Server aus irgendeinem Grund unterbrochen wird, ist ein neuer Handshake erforderlich, um einen neuen Sitzungsschlüssel einzurichten.

Schwachstellen in den Protokollen TLS 1.2 und TLS 1.2

TLS 1.2 ist die am weitesten verbreitete Version des Protokolls. Diese Version installierte die ursprüngliche Plattform für Sitzungsverschlüsselungsoptionen. Wie einige frühere Versionen des Protokolls erlaubte dieses Protokoll jedoch die Verwendung älterer Verschlüsselungstechniken, um ältere Computer zu unterstützen. Leider führte dies zu Schwachstellen in Version 1.2, da diese älteren Verschlüsselungsmechanismen anfälliger wurden.

Beispielsweise ist das TLS 1.2-Protokoll besonders anfällig für Manipulationsangriffe geworden, bei denen ein Hacker Datenpakete mitten in einer Sitzung abfängt und sie nach dem Lesen oder Verändern versendet. Viele dieser Probleme sind in den letzten 2 Jahren aufgetaucht, daher ist es dringend erforderlich, eine aktualisierte Version des Protokolls zu erstellen.

TLS 1.3

Version 1.3 des TLS-Protokolls, die bald fertig gestellt wird, löst viele Probleme mit Schwachstellen, indem die Unterstützung für ältere Verschlüsselungssysteme eingestellt wird.
Die neue Version ist mit früheren Versionen kompatibel: Beispielsweise fällt die Verbindung auf TLS Version 1.2 zurück, wenn eine der Parteien kein neueres Verschlüsselungssystem in der Liste der zulässigen Algorithmen der Protokollversion 1.3 verwenden kann. Wenn jedoch bei einem Angriff vom Typ Verbindungsmanipulation ein Hacker gewaltsam versucht, die Protokollversion mitten in einer Sitzung auf 1.2 zurückzusetzen, wird diese Aktion bemerkt und die Verbindung wird beendet.

So aktivieren Sie die TLS 1.3-Unterstützung in den Browsern Google Chrome und Firefox

Firefox und Chrome unterstützen TLS 1.3, aber diese Version ist standardmäßig nicht aktiviert. Der Grund ist, dass es bisher nur in Entwurfsform existiert.

Mozilla-Firefox

Geben Sie about:config in die Adressleiste Ihres Browsers ein. Bestätigen Sie, dass Sie die Risiken verstehen.

1. Der Firefox-Einstellungseditor wird geöffnet.
2. Geben Sie bei der Suche security.tls.version.max ein
3. Ändern Sie den Wert auf 4, indem Sie auf den aktuellen Wert doppelklicken.

Google Chrome

1. Geben Sie chrome://flags/ in die Adressleiste Ihres Browsers ein, um das Experimentfeld zu öffnen.
2. Suchen Sie die Option #tls13-variant
3. Klicken Sie auf das Menü und stellen Sie Aktiviert (Entwurf) ein.
4. Starten Sie Ihren Browser neu.

So überprüfen Sie, ob Ihr Browser Version 1.2 verwendet

Wir erinnern Sie daran, dass Version 1.3 noch nicht öffentlich verwendet wird. Wenn du nicht willst
Verwenden Sie die Entwurfsversion, können Sie auf Version 1.2 bleiben.

Um zu überprüfen, ob Ihr Browser Version 1.2 verwendet, befolgen Sie die gleichen Schritte wie in den obigen Anweisungen und stellen Sie Folgendes sicher:

• Für Firefox ist der Wert von security.tls.version.max 3. Wenn er niedriger ist, ändern Sie ihn auf 3, indem Sie auf den aktuellen Wert doppelklicken.
• Für Google Chrome: Klicken Sie auf das Browsermenü - wählen Sie Einstellungen- auswählen Erweiterte Einstellungen anzeigen- Gehen Sie zum Abschnitt System und klicken Sie auf Proxy-Einstellungen öffnen…:

• Klicken Sie im sich öffnenden Fenster auf die Registerkarte Sicherheit und vergewissern Sie sich, dass das Feld TLS 1.2 verwenden aktiviert ist. Wenn es sich nicht lohnt, stellen Sie es ein und klicken Sie auf OK:

Die Änderungen werden wirksam, nachdem Sie Ihren Computer neu gestartet haben.

Ein schnelles Tool, um die Version des SSL/TLS-Protokolls Ihres Browsers zu überprüfen

Gehen Sie zu SSL Labs Online Protocol Version Checker. Die Seite zeigt in Echtzeit an, welche Version des Protokolls verwendet wird und ob der Browser für Schwachstellen anfällig ist.

Quellen: Übersetzung