主页 / server / 问题 / 759178
Accepted
Ralph King
Asked: 2016-02-24 04:40:11 +0800 CST

Windows XP、Chrome 48 和 RC4

  • 772

我最近更新到https。不支持 RC4。

我们有一两个客户无法访问我们的站点，并且收到错误消息“无法建立安全连接，因为该站点使用了不受支持的协议或密码套件。这很可能是在服务器需要 RC4 时引起的，这不再被认为是安全的。

它们都在 XP 上，但运行的是最新的 Chrome。

我怎样才能解决这个问题？请记住，我们不支持 RC4，Chrome 错误消息不是很有帮助。

我假设 Windows XP 和任何试图访问任何不支持 RC4 的 HTTPS 站点的新浏览器都存在问题 - 当然有一种解决方法，因为大部分人仍在运行 XP？

windows-xp

1 个回答

  1. Best Answer

    您的站点需要支持 Windows XP 中可用的密码，这就是密码套件不匹配的原因。您的 SSL 实验室测试报告列出了以下密码：

    TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xc02b)   ECDH secp256r1 (eq. 3072 bits RSA)   FS  128
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 (0xc023)   ECDH secp256r1 (eq. 3072 bits RSA)   FS  128
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009)   ECDH secp256r1 (eq. 3072 bits RSA)   FS 128
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (0xc02c)   ECDH secp256r1 (eq. 3072 bits RSA)   FS  256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 (0xc024)   ECDH secp256r1 (eq. 3072 bits RSA)   FS  256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (0xc00a)   ECDH secp256r1 (eq. 3072 bits RSA)   FS 256
TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc008)   ECDH secp256r1 (eq. 3072 bits RSA)   FS    112
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 (0xcc14)   ECDH secp256r1 (eq. 3072 bits RSA)   FS    256P
(P) This server prefers ChaCha20 suites with clients that don't have AES-NI (e.g., Android devices)

    以下是 Windows XP/Server 2003 中支持的 TLS 密码套件。

    TLS_RSA_WITH_RC4_128_MD5
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA
TLS_RSA_WITH_DES_CBC_SHA
TLS_DHE_DSS_WITH_DES_CBC_SHA
TLS_RSA_EXPORT1024_WITH_RC4_56_SHA
TLS_RSA_EXPORT1024_WITH_DES_CBC_SHA
TLS_DHE_DSS_EXPORT1024_WITH_DES_CBC_SHA
TLS_RSA_EXPORT_WITH_RC4_40_MD5
TLS_RSA_EXPORT_WITH_RC2_CBC_40_MD5
TLS_RSA_WITH_NULL_MD5
TLS_RSA_WITH_NULL_SHA

    https://msdn.microsoft.com/en-us/library/windows/desktop/aa380512(v=vs.85).aspx

    您的网站根本无法在 Windows XP 上运行。如果您想支持 Windows XP，您需要添加其中一个受支持的套件。最常用的似乎是前面提到的TLS_RSA_WITH_3DES_EDE_CBC_SHA。

    编辑添加：我刚刚注意到您正在使用 CloudFlare。请务必阅读 SSL 常见问题解答和旧版浏览器支持文章。

    https://support.cloudflare.com/hc/en-us/articles/214770928-Legacy-Browser-Support

    我知道 Chrome 是一种现代浏览器，但正如我之前所说，它使用 Windows 库来运行它运行的任何操作系统，并且直到 Windows Vista 才引入 TLS/SNI 支持。因此，如果您在 CloudFlare 中禁用旧版浏览器支持，您也会破坏 XP 上的 Chrome，因为您的网站只能从支持 SNI 的浏览器访问。

    • 3

相关问题