[IE9] TLS traag

[One_Gandalf]

Analyse communicatie met Wireshark

Als ik via IE9 een verbinding maak met een website via https met als protocol TLS 1.2 dan duurt het 15 seconden voordat ik een inlogvenster krijg (via bijvoorbeeld Firefox krijg ik praktisch direct een inlogvenster).

Ik heb het verkeer vergeleken via Wireshark. Als ik voor IE9 kijk naar de packets met als destination de server-kant dan zie ik om 12:05:45 uur een 'ACK' en om 12:06:00 (precies 15 seconden later) een 'FIN,ACK'.

Waardoor duurt het 15 seconden voordat mijn 'client' een 'FIN, ACK' stuurt naar de server?

'Slaapt' de client (IE9) 15 seconden, 'slaapt' de server 15 seconden of is er iets anders aan de hand?

Browsers waarmee het probleem niet optreedt

Via Firefox wordt er na een 'ACK' naar de server door de server direct 'Application Data' teruggestuurd.

Via IE11 vanaf een andere PC gaat het wel goed en krijg ik vrijwel direct een inlogvenster.

Instellingen IE9

Ik heb in IE9 via het tabblad 'Geavanceerd' een vinkje gezet voor 'TLS 1.1' en 'TLS 1.2' en de vinkjes voor 'SSL 2.0' en 'SSL 3.0' verwijderd.


Graag niet adviseren om IE te upgraden.

[ Voor 25% gewijzigd door One_Gandalf op 23-04-2017 15:15 ]

[nelizmastr]

Toch maar upgraden. IE9 is al geruime tijd niet meer ondersteund.

Geef eens zinvolle argumenten om een onveilige instabiele browser te blijven gebruiken terwijl je zelf al uitgevonden hebt dat vrijwel alle alternatieven wel werken.

[One_Gandalf]

nelizmastr schreef op zondag 23 april 2017 @ 15:17:
...
Geef eens zinvolle argumenten om een onveilige instabiele browser te blijven gebruiken terwijl je zelf al uitgevonden hebt dat vrijwel alle alternatieven wel werken.

Ik ben benieuwd naar de reden waarom dit fout gaat voor IE9.

[nelizmastr]

One_Gandalf schreef op zondag 23 april 2017 @ 15:24:
[...]


Ik ben benieuwd naar de reden waarom dit fout gaat voor IE9.

Allicht omdat de browser niet meer ondersteund is en niet bij is qua web standaarden?

[Vorkie]

Dit lijkt mij eerder een controle check op het certificaat, mogelijk dat er CAPI2 errors in de eventlog staan?

[One_Gandalf]

Vorkie schreef op zondag 23 april 2017 @ 15:28:
Dit lijkt mij eerder een controle check op het certificaat, mogelijk dat er CAPI2 errors in de eventlog staan?

Ik heb de logging voor CAPI2 aangezet en krijg dan het volgende te zien als ik via IE9 verbinding maak (tot het inlogvenster verschijnt):

code:

Informatie  23-4-2017 16:25:36  CAPI2   81  Vertrouwensrelatie controleren
Informatie  23-4-2017 16:25:36  CAPI2   90  X509-objecten
Informatie  23-4-2017 16:25:36  CAPI2   30  Ketenbeleid controleren
Informatie  23-4-2017 16:25:36  CAPI2   11  Keten samenstellen
Informatie  23-4-2017 16:25:36  CAPI2   10  Keten samenstellen
Informatie  23-4-2017 16:25:36  CAPI2   80  Vertrouwensrelatie controleren
Informatie  23-4-2017 16:25:36  CAPI2   81  Vertrouwensrelatie controleren
Informatie  23-4-2017 16:25:36  CAPI2   90  X509-objecten
Informatie  23-4-2017 16:25:36  CAPI2   30  Ketenbeleid controleren
Informatie  23-4-2017 16:25:36  CAPI2   11  Keten samenstellen
Informatie  23-4-2017 16:25:36  CAPI2   10  Keten samenstellen
Informatie  23-4-2017 16:25:36  CAPI2   80  Vertrouwensrelatie controleren
Informatie  23-4-2017 16:25:36  CAPI2   81  Vertrouwensrelatie controleren
Informatie  23-4-2017 16:25:36  CAPI2   90  X509-objecten
Informatie  23-4-2017 16:25:36  CAPI2   30  Ketenbeleid controleren
Informatie  23-4-2017 16:25:36  CAPI2   11  Keten samenstellen
Informatie  23-4-2017 16:25:36  CAPI2   10  Keten samenstellen
Informatie  23-4-2017 16:25:36  CAPI2   80  Vertrouwensrelatie controleren
Fout        23-4-2017 16:25:28  CAPI2   11  Keten samenstellen
Informatie  23-4-2017 16:25:28  CAPI2   90  X509-objecten
Fout        23-4-2017 16:25:28  CAPI2   15  Verlenercertificaat uit netwerk verkrijgen
Fout        23-4-2017 16:25:28  CAPI2   53  Object uit netwerk verkrijgen
Informatie  23-4-2017 16:25:28  CAPI2   52  Object uit netwerk verkrijgen
Informatie  23-4-2017 16:25:28  CAPI2   14  Verlenercertificaat uit netwerk verkrijgen
Fout        23-4-2017 16:25:28  CAPI2   15  Verlenercertificaat uit netwerk verkrijgen
Fout        23-4-2017 16:25:28  CAPI2   53  Object uit netwerk verkrijgen
Informatie  23-4-2017 16:25:28  CAPI2   52  Object uit netwerk verkrijgen
Informatie  23-4-2017 16:25:28  CAPI2   14  Verlenercertificaat uit netwerk verkrijgen
Informatie  23-4-2017 16:25:28  CAPI2   10  Keten samenstellen
Informatie  23-4-2017 16:25:13  CAPI2   81  Vertrouwensrelatie controleren
Informatie  23-4-2017 16:25:13  CAPI2   90  X509-objecten
Informatie  23-4-2017 16:25:13  CAPI2   81  Vertrouwensrelatie controleren
Informatie  23-4-2017 16:25:13  CAPI2   90  X509-objecten
Informatie  23-4-2017 16:25:13  CAPI2   30  Ketenbeleid controleren
Informatie  23-4-2017 16:25:13  CAPI2   11  Keten samenstellen
Informatie  23-4-2017 16:25:13  CAPI2   30  Ketenbeleid controleren
Informatie  23-4-2017 16:25:13  CAPI2   11  Keten samenstellen
Informatie  23-4-2017 16:25:13  CAPI2   10  Keten samenstellen
Informatie  23-4-2017 16:25:13  CAPI2   80  Vertrouwensrelatie controleren
Informatie  23-4-2017 16:25:13  CAPI2   10  Keten samenstellen
Informatie  23-4-2017 16:25:13  CAPI2   80  Vertrouwensrelatie controleren
Fout        23-4-2017 16:25:07  CAPI2   81  Vertrouwensrelatie controleren
Informatie  23-4-2017 16:25:07  CAPI2   80  Vertrouwensrelatie controleren

Je ziet tussen 16:25:13 en 16:25:28 een gat van 15 seconden.

[Vorkie]

Ja en het systeem gaat proberen het certificaat te controleren, deze ziet dat er geen match is in de interne certificaten store en gaat daarna middels internet het certificaat ophalen, maar dat loopt ook niet helemaal lekker.

Schijnbaar op de zaak? Of gewoon thuis? Mogelijk hieronder een oplossing:

https://social.technet.mi...3?forum=winserversecurity

[One_Gandalf]

Vorkie schreef op zondag 23 april 2017 @ 18:05:
Ja en het systeem gaat proberen het certificaat te controleren, deze ziet dat er geen match is in de interne certificaten store en gaat daarna middels internet het certificaat ophalen, maar dat loopt ook niet helemaal lekker.

Schijnbaar op de zaak?
...

Het gaat inderdaad om een PC op de zaak. Voor de toegang heb ik hiervoor een certificaat van de website geïnstalleerd in de 'certificaten store' van Windows. Ik neem aan de je met 'het systeem' de client bedoelt. Op de client staan twee te gebruiken certificaten. Een certificaat van een verlener (een 'trusted CA' als ik het goed heb begrepen) en een certificaat van de website (zelf te vervangen indien verlopen) om in te kunnen loggen op de website. Ik vraag me af of er dan ook nog een certificaat via internet moet worden opgehaald.

[wagenveld]

Kan de client bij de CRL van het certificaat?

[One_Gandalf]

wagenveld schreef op maandag 24 april 2017 @ 07:47:
Kan de client bij de CRL van het certificaat?

Ja. Ik heb de URI voor de CRL in de adresbalk gekopieerd en de CRL wordt dan gedownload.

Het 'Windows-certificaat' wordt overigens ook gebruikt door Chrome en via Chrome heb ik geen vertraging en werkt het als een zonnetje.