[Apache] StartSSL werkt niet in alle browsers*

[Alex)]

Die hele meetingplanner doet het hier niet eens.



Heeft F.West98 soms weer een encodingfout gemaakt?

Modbreak:

Dit topic is afgesplitst van De Devschuur Coffee Corner - Iteratie 7 waarbij de lokale prutsermods ( ) vergeten zijn dat in dit topic aan te geven. Het gaat hier primair om F.West98 in "[Apache] StartSSL werkt niet in alle browsers*" en verder.

[ Voor 50% gewijzigd door F_J_K op 30-10-2014 06:59 . Reden: Beetje discutabel of het een client- of server issue is, maar aangezien de clients niet in beheer zijn is het idd meer iets voor hier. ]

[azerty]

Dat is toch duidelijk? Stuur me maar een DM met je login-gegevens, regel ik het wel voor je

[Douweegbertje]

Jouw pc alex. Herstart je browser.

[Alex)]

Douweegbertje schreef op woensdag 29 oktober 2014 @ 19:04:
Jouw pc alex. Herstart je browser.

Zoals Chrome als Safari geprobeerd en hij doet 't niet. Chrome geeft die fout, Safari blijft oneindig laden. In Firefox lijkt het wel te werken.

Vraag me toch af hoe F.West dat voor elkaar heeft gekregen

[Styxxy]

Het is wel grappig om te zien dat de volgorde van de namen anders is op de afbeelding dan op de website.

Alex) schreef op woensdag 29 oktober 2014 @ 19:08:
[...]
Vraag me toch af hoe F.West dat voor elkaar heeft gekregen

Daarnet duurde het ook erg lang om de site laden, maar uiteindelijk lukte het wel.

[F.West98]

Alex) schreef op woensdag 29 oktober 2014 @ 19:08:
[...]

Zoals Chrome als Safari geprobeerd en hij doet 't niet. Chrome geeft die fout, Safari blijft oneindig laden. In Firefox lijkt het wel te werken.

Vraag me toch af hoe F.West dat voor elkaar heeft gekregen

Mac lust StartSSL niet. Firefox op Mac wel.
Ik blame Apple

[Caelorum]

Ook goed...

[Firesphere]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:27:
[...]

Mac lust StartSSL niet. Firefox op Mac wel.
Ik blame Apple

Dit, probeer de LocatieDB maar eens, die geeft hetzelfde probleem op de mac met webkit gevallen.

[Rutix]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:27:
[...]

Mac lust StartSSL niet. Firefox op Mac wel.
Ik blame Apple

Je blamed Apple voor jou falen?

[azerty]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:27:
[...]

Mac lust StartSSL niet. Firefox op Mac wel.
Ik blame Apple

Een 10'je voor een degelijk SSL certificaat is nu toch ook de wereld weer niet? Zeker voor iets belangrijks als een meetingmanager?

[F.West98]

Ik ben blut. Sponsor jij?

[Douweegbertje]

Rutix schreef op woensdag 29 oktober 2014 @ 21:28:
[...]

Je blamet Apple voor jou falen?

Nee, Apple failed. En in dit geval geef ik west gelijk.

[Firesphere]

Rutix schreef op woensdag 29 oktober 2014 @ 21:28:
[...]

Je blamed Apple voor jou falen?

Voor het niet accepteren van een vrij veel gebruikte certificateprovider wel.

[Rutix]

wsitedesign schreef op woensdag 29 oktober 2014 @ 21:28:
[...]


Een 10'je voor een degelijk SSL certificaat is nu toch ook de wereld weer niet? Zeker voor iets belangrijks als een meetingmanager?

FTFY

[Alex)]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:27:
[...]

Mac lust StartSSL niet. Firefox op Mac wel.
Ik blame Apple

Onzin. Ik heb zelf een paar StartSSL Class 1-certificaten geïnstalleerd en die slikt mijn Mac prima.

[F.West98]

Gratis StartSSL certificaten

[Rutix]

Alex) schreef op woensdag 29 oktober 2014 @ 21:30:
[...]

Onzin. Ik heb zelf een paar StartSSL Class 1-certificaten geïnstalleerd en die slikt mijn Mac prima.

Ik zei toch hij probeert zijn falen op Apple af te schuiven

[F.West98]

Van boven naar onder:
Safari op OSX: Laadt niet eens
Firefox op OSX: geen probleem
Chrome op OSX: probleem

rechts:
Firefox op Windows: geen probleem
IE op Windows: geen probleem
Chrome op Windows: geen probleem

Enige wat het nog kan zijn is SNI, maar lijkt me gek als OSX dat niet ondersteunt...
Dus, ik wijs nog maar eens naar mijn sig

[Verwijderd]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:38:
[afbeelding]

Van boven naar onder:
Safari op OSX: Laadt niet eens
Firefox op OSX: geen probleem
Chrome op OSX: probleem

rechts:
Firefox op Windows: geen probleem
IE op Windows: geen probleem
Chrome op Windows: geen probleem

Enige wat het nog kan zijn is SNI, maar lijkt me gek als OSX dat niet ondersteunt...
Dus, ik wijs nog maar eens naar mijn sig

Heeft het mss iets met Webkit te maken dan?

[F.West98]

Nee. Ook FTP-clients op OSX willen niet met mijn server verbinden.

[Douweegbertje]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:38:
[afbeelding]

Van boven naar onder:
Safari op OSX: Laadt niet eens
Firefox op OSX: geen probleem
Chrome op OSX: probleem

rechts:
Firefox op Windows: geen probleem
IE op Windows: geen probleem
Chrome op Windows: geen probleem

Enige wat het nog kan zijn is SNI, maar lijkt me gek als OSX dat niet ondersteunt...
Dus, ik wijs nog maar eens naar mijn sig

Even snelle check.. maar je cert wijst 'eigenlijk' naar api.meetingmanage

[Alex)]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:38:

Enige wat het nog kan zijn is SNI, maar lijkt me gek als OSX dat niet ondersteunt...
Dus, ik wijs nog maar eens naar mijn sig

Bullshit. Ik heb ook SNI in gebruik voor maarliefst 3 SSL-sites en dat levert geen enkel probleem op.

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

[ Voor 13% gewijzigd door Alex) op 29-10-2014 21:42 ]

[F.West98]

Douweegbertje schreef op woensdag 29 oktober 2014 @ 21:41:
[...]


Even snelle check.. maar je cert wijst 'eigenlijk' naar api.meetingmanage

Je kan bij StartSSL een subdomain en een gewoon domein opgeven, dat doe ik dus ook.

[Douweegbertje]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:41:
[...]

Je kan bij StartSSL een subdomain en een gewoon domein opgeven, dat doe ik dus ook.

En je subject is api.roosterpgplus.nl....

[azerty]

Je zou beter eens kijken op ssl labs wat er zo nog te verbetern valt:

https://www.ssllabs.com/s...e.html?d=meetingmanage.nl

[F.West98]

Douweegbertje schreef op woensdag 29 oktober 2014 @ 21:43:
[...]


En je subject is api.roosterpgplus.nl....

Dat is een SNI-probleem.

[Alex)]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:46:
[...]

Dat is een SNI-probleem.

Dat is geen probleem hoor, zo werkt SNI gewoon.

[F.West98]

Nogmaals, dan doet je browser iets goed fout, want hier op Windows werkt het overal gewoon. Vraag maar aan FS, hij heeft het probleem ook

[Alex)]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:47:
Nogmaals, dan doet je browser iets goed fout, want hier op Windows werkt het overal gewoon. Vraag maar aan FS, hij heeft het probleem ook

Nee F.West98, zoals ik al heb gezegd werkt het bij mij wel. Mét StartSSL Class 1-certificaten (gratis) en SNI.

Mijn OS en browser lusten het allemaal prima, maar er is iets in de configuratie van jouw server waardoor het niet werkt met Chrome/Safari op OS X.

[F.West98]

Verklaar dan waarom het op Windows wél werkt?

[Alex)]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:51:
Verklaar dan waarom het op Windows wél werkt?

Microsoft's SChannel werkt anders dan het OS X-equivalent, dat lijkt me duidelijk.

In Firefox op OS X werkt het ook, maar die browser maakt geen gebruik van de pipeline die het OS aanbiedt waar Chrome, Safari en IE dat wel doen.

[F.West98]

Nou, afaik heb ik alles goed gedaan.
Ik heb allerlei domeinen, sommige met certificaten. In IIS Manager heb ik bij die bindings SNI enabled en de juiste certificaten geselecteerd. Alleen bij (api.)roosterpgplus.nl heb ik SNI uitgeschakeld om een fallback te hebben. (maar inmiddels uitgeschakeld)

SSL3 is inmiddels uitgeschakeld btw.

edit:
Oh. Geen gehelpdesk meer...

[ Voor 5% gewijzigd door F.West98 op 29-10-2014 21:57 ]

[Alex)]

Creepy schreef op woensdag 29 oktober 2014 @ 21:55:
En verdere gehelpdesk over SSL certificaten niet hier he .oisyn heeft niet voor niets de topic warning terug moeten zetten

Ik ben hem ook niet aan het helpen, ik ben alleen aan het bitchen dat het niet werkt.

Ik vermoed dat het iets met de cipherstrength van zijn certificaten te maken heeft (8192 bits, sha256) maar dat is een beetje lastig te reproduceren

[azerty]

F.West98 schreef op woensdag 29 oktober 2014 @ 21:57:
Nou, afaik heb ik alles goed gedaan.
Ik heb allerlei domeinen, sommige met certificaten. In IIS Manager heb ik bij die bindings SNI enabled en de juiste certificaten geselecteerd. Alleen bij (api.)roosterpgplus.nl heb ik SNI uitgeschakeld om een fallback te hebben. (maar inmiddels uitgeschakeld)

SSL3 is inmiddels uitgeschakeld btw.

edit:
Oh. Geen gehelpdesk meer...

Je bent al van C naar A gegaan in de test.

[Alex)]

wsitedesign schreef op woensdag 29 oktober 2014 @ 22:03:
[...]


Je bent al van C naar A gegaan in de test.

SSL3 uitschakelen helpt daar wel bij, ja

Bij mij geeft hij aan 'SSLv3 enabled but POODLE mitigated serverside', terwijl ik niks heb gedaan

[F.West98]

Alex) schreef op woensdag 29 oktober 2014 @ 21:58:
[...]

Ik ben hem ook niet aan het helpen, ik ben alleen aan het bitchen dat het niet werkt.

Ik vermoed dat het iets met de cipherstrength van zijn certificaten te maken heeft (8192 bits, sha256) maar dat is een beetje lastig te reproduceren

En ik verdedig mezelf

Ik heb dus sha256 met 8192 bits, dat wel....

Oh, en:

[Alex)]

clintwilson.technology

De gTLD is bijna net zo lang als de domeinnaam zelf.

[Rutix]

Geen A+

[azerty]

Alex) schreef op woensdag 29 oktober 2014 @ 22:04:
[...]
SSL3 uitschakelen helpt daar wel bij, ja

Bij mij geeft hij aan 'SSLv3 enabled but POODLE mitigated serverside', terwijl ik niks heb gedaan

Ik geloof dat dat te maken heeft met de geaccepteerde ciphers (uitschakelen of geen enkele SSLv3 cipher accepteren mitigeren POODLE xD)

[F.West98]

Hmm.. Ik zet SNI voor mijn API maar weer uit. Android (Java 6) ondersteunt dat dus niet native, zonder wijzigingen aan de code....

[azerty]

Rutix schreef op woensdag 29 oktober 2014 @ 22:05:
Geen A+

Als zelfs banken/overheid geen A+ halen, waarom zouden wij dan wel moeten?

[Alex)]

Ik kwam deze post, die mijn vermoedens lijkt te bevestigen. Er stond zelfs een commando in...



En het werkt ook nog.

[Alex)]

Geen F.West98-faal dus dit keer, maar wel iets wat hij kan voorkomen door z'n keysize wat omlaag te zetten

[F.West98]

Of Apple moet gewoon zijn besturingssysteem fixen. IMO

[Alex)]

Het is iets wat er zo te zien sinds 2006 al in zit, die limiet mag anno 2014 wel een keer omhoog inderdaad

[ Voor 43% gewijzigd door Alex) op 29-10-2014 22:15 ]

[azerty]

Rutix schreef op woensdag 29 oktober 2014 @ 22:19:
[...]

Omdat wij niet sucken en tweakers zijn

Bij deze dan:

[Alex)]

Wat heb je gedaan om naar A+ te komen? SSLv3 uit- en HSTS inschakelen?

[ Voor 11% gewijzigd door Alex) op 30-10-2014 00:05 ]

[azerty]

Enkel HSTS ingeschakeld, wat het verschil met A is. SSLv3 had ik al een week of 3 geleden uitgeschakeld, vlak na bekendmaking van POODLE. Was ook aan het kijken voor OCSP Stapling, maar dat is pas vanaf nginx 1.3.7, en de huidige apt-get versie is maar 1.2.1 (en te lui om manueel up te graden), dus die komt er nog niet in.

Edit: SSLv3 nog gebruiken kan je een C grade opleveren:

At this time, a server vulnerable to the POODLE attack will be given a C grade

Goede blog hieromtrent: https://scotthelme.co.uk/a-plus-rating-qualys-ssl-test/

[ Voor 44% gewijzigd door azerty op 30-10-2014 00:11 ]

[F.West98]

Hoe krijg je eigenlijk alles op 100?

[Firesphere]

F.West98 schreef op donderdag 30 oktober 2014 @ 00:12:
Hoe krijg je eigenlijk alles op 100?

Heel hard fietsen schijnt te helpen.

[azerty]

Geen flauw idee. De juiste combinaties & protocollen gebruiken? Er is een uitleg over hun berekeningswijze beschikbaar.

In elk geval leggen ze meer nadruk op de grade dan de echte punten, omdat het vooral een set aan eisen zijn die belangrijk is ipv alles tot op de laatste letter te implementeren en aan te bieden.

[F.West98]

https://www.ssllabs.com/s...e.html?d=meetingmanage.nl

* F.West98 heeft nu ook A+

[ Voor 3% gewijzigd door F.West98 op 30-10-2014 00:30 ]

[Xesxen]

Ik zie gewoon een 'C' staan
Edit: Wacht, hij cached de resultaten per ip lijkt het...

[ Voor 49% gewijzigd door Xesxen op 30-10-2014 00:32 ]

[Kobus Post]

Zag eerst een 'A', nu staat er een 'C'

[F.West98]

Ze vergeten 'm steeds

[Xesxen]

Kijk, zo te zien is mijn site ook lief wat betreft SSL:


Enige wat wel is, is dat mijn certificaat SHA1 gebruikt en niet SHA256, dus dat vindt hij niet enorm leuk denk ik...

[OnTracK]

Als je een StartSSL class1 SHA2 certificaat hebt moet je even deze intermediate gebruiken in plaats van degene die ze in de toolbox linken.
https://www.startssl.com/certs/class1/sha2/pem/ => sub.class1.server.sha2.ca.pem

De link hebben ze nog niet geupgrade. Maar je zult wel binnenkort browsers krijgen die SHA1 deprecation gaan doorvoeren.

Verder heeft het niet heel veel zin om een 8192bit leaf-certificate te hebben als de intermediate "maar" 2048bit is. Want dan richt een eventuele aanval zich gewoon op de intermediate (die voor veel meer gebruikt wordt)

[ Voor 28% gewijzigd door OnTracK op 30-10-2014 16:04 ]