{"id":254,"date":"2020-07-23T10:33:04","date_gmt":"2020-07-23T08:33:04","guid":{"rendered":"https:\/\/esferas.org\/mldt\/?p=254"},"modified":"2020-07-23T12:25:06","modified_gmt":"2020-07-23T10:25:06","slug":"versiones-de-tls-y-navegadores-web-fallando","status":"publish","type":"post","link":"https:\/\/esferas.org\/mldt\/versiones-de-tls-y-navegadores-web-fallando\/","title":{"rendered":"Versiones de TLS y navegadores web fallando"},"content":{"rendered":"\n

Y es que es un buen momento para empezar a molestar. Pero por otro lado me permite no quedarme dormido porque el aburrimiento y la inacci\u00f3n me matan, oiga.<\/p>\n\n\n\n

jueves, 23 de julio de 2020<\/p>\n\n\n\n

Esta ma\u00f1ana, seg\u00fan llego, comienzan las quejas. Diferentes dispositivos y diferentes navegadores no pueden conectar con nuestro ERP. \u00bf El problema ? Algo relacionado con las conexiones seguras. <\/p>\n\n\n\n

Mis hom\u00ednidos se lanzan a una carrera de especulaciones y reinicios en plan mono pero no consiguen nada. Yo pruebo con Firefox en el puesto del almac\u00e9n y veo que hay un aviso sobre certificados TLS (sobre la versi\u00f3n concretamente) y un bot\u00f3n que me indica que si quiero seguir. Le digo que s\u00ed y pasamos de nivel porque lo esencial es producir y trabajar en este mundo id\u00edlico que nos ha tocado. <\/p>\n\n\n\n

Mientras me centro en qu\u00e9 ocurre con el resto de los navegadores, especialmente Google Chrome y derivados, y veo que es un problema con la versi\u00f3n del protocolo TLS, que debe ser 1.2 o superior. <\/p>\n\n\n\n

\"\"<\/a><\/figure><\/div>\n\n\n\n

Vaya. \u00bf Justamente hoy ? Bueno, en el fondo hoy o ma\u00f1ana no representa diferencias. Busco en la red y encuentro un aviso en el blog de Google Chrome donde ya avisaban<\/a> de \u00e9sto un par de a\u00f1os atr\u00e1s. <\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

El problema, entonces, est\u00e1 en el\/los servidores web que est\u00e1n empleando versiones inferiores de TLS. Concretamente el servidor nginx sobre odoo. Primero me cercioro de que sea as\u00ed empleando una herramienta de consola<\/a> como nmap<\/em>:<\/p>\n\n\n\n

victor@sarajevo:~$ nmap --script ssl-enum-ciphers -p 443 erp.venexma.net\nStarting Nmap 7.70 ( https:\/\/nmap.org ) at 2020-07-23 09:52 CEST\nNmap scan report for erp.venexma.net (192.168.100.9)\nHost is up (0.00021s latency).\nPORT STATE SERVICE\n443\/tcp open https\n| ssl-enum-ciphers:\n| TLSv1.0:<\/strong>\n| ciphers:\n| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (secp256r1) - A\n| TLS_DHE_RSA_WITH_AES_256_CBC_SHA (dh 1024) - A\n| TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA (dh 1024) - A\n| TLS_ECDH_anon_WITH_AES_256_CBC_SHA - F\n| TLS_RSA_WITH_AES_256_CBC_SHA (rsa 4096) - A\n| TLS_RSA_WITH_CAMELLIA_256_CBC_SHA (rsa 4096) - A\n| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (secp256r1) - A\n| TLS_DHE_RSA_WITH_AES_128_CBC_SHA (dh 1024) - A\n| TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA (dh 1024) - A\n| TLS_ECDH_anon_WITH_AES_128_CBC_SHA - F\n| TLS_RSA_WITH_AES_128_CBC_SHA (rsa 4096) - A\n| TLS_RSA_WITH_CAMELLIA_128_CBC_SHA (rsa 4096) - A\n| compressors:\n| NULL\n| cipher preference: server\n| warnings:\n| Key exchange (dh 1024) of lower strength than certificate key\n| Key exchange (secp256r1) of lower strength than certificate key\n|_ least strength: F<\/pre>\n\n\n\n
Cambiar la configuraci\u00f3n del servidor web es bastante sencilla. La directriz ssl_protocols<\/a> es muy directa:<\/p>\n\n\n\n
# limit ciphers\nssl_ciphers            HIGH:!ADH:!MD5;\nssl_protocols            TLSv1.2;\nssl_prefer_server_ciphers    on;<\/code><\/pre>\n\n\n\n
Y despu\u00e9s de reiniciar muy sencillo de comprobar de nuevo:<\/p>\n\n\n\n
victor@sarajevo:~$ nmap --script ssl-enum-ciphers -p 443 erp.venexma.net\nStarting Nmap 7.70 ( https:\/\/nmap.org ) at 2020-07-23 10:22 CEST\nNmap scan report for erp.venexma.net (192.168.100.9)\nHost is up (0.00022s latency).\nPORT STATE SERVICE\n443\/tcp open https\n| ssl-enum-ciphers:\n| TLSv1.2:<\/strong>\n| ciphers:\n| TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (secp256r1) - A\n| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (secp256r1) - A\n| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (secp256r1) - A\n| TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 1024) - A\n...<\/pre>\n\n\n\n
Y como vemos a continuaci\u00f3n Google Chrome est\u00e1 contento por fin:<\/p>\n\n\n\n
\"\"<\/figure><\/div>\n\n\n\n
\u00bf Pasar\u00e1 algo por eliminar el soporte de versiones anteriores a la 1.2 en TLS ? \u00a1 Por supuesto ! Yo me voy a limitar a informar de los cambios y luego, ya si eso, veremos qu\u00e9 dispositivo antiguo y no actualizable tiene problemas con ello y c\u00f3mo arreglarlo si es que es posible. <\/p>\n\n\n\n
Por ahora ya est\u00e1. <\/p>\n\n\n\n
Adenda<\/h4>\n\n\n\n
En Twitter ya est\u00e1n avisando de ello. \u00a1 No estoy solo ! <\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Pero tambi\u00e9n da la soluci\u00f3n que consiste en cambiar un valor en la configuraci\u00f3n: chrome:\/\/flags\/#legacy<\/a>-tls-enforced<\/em><\/p>\n\n\n\n
\"\"<\/figure><\/div>\n","protected":false},"excerpt":{"rendered":"
Y es que es un buen momento para empezar a molestar. Pero por otro lado me permite no quedarme dormido porque el aburrimiento y la inacci\u00f3n me matan, oiga. jueves, 23 de julio de 2020 Esta ma\u00f1ana, seg\u00fan llego, comienzan las quejas. Diferentes dispositivos y diferentes navegadores no pueden conectar con nuestro ERP. \u00bf El…<\/p>\n
Continue <\/i><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"webmentions_disabled_pings":false,"webmentions_disabled":false,"footnotes":""},"categories":[72],"tags":[83,69,85,84,86,35,82],"class_list":["post-254","post","type-post","status-publish","format-standard","hentry","category-problemas-y-errores","tag-conexiones-seguras","tag-firefox","tag-google-chrome","tag-nginx","tag-nmap","tag-odoo","tag-tls","content-box"],"_links":{"self":[{"href":"https:\/\/esferas.org\/mldt\/wp-json\/wp\/v2\/posts\/254","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/esferas.org\/mldt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/esferas.org\/mldt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/esferas.org\/mldt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/esferas.org\/mldt\/wp-json\/wp\/v2\/comments?post=254"}],"version-history":[{"count":5,"href":"https:\/\/esferas.org\/mldt\/wp-json\/wp\/v2\/posts\/254\/revisions"}],"predecessor-version":[{"id":265,"href":"https:\/\/esferas.org\/mldt\/wp-json\/wp\/v2\/posts\/254\/revisions\/265"}],"wp:attachment":[{"href":"https:\/\/esferas.org\/mldt\/wp-json\/wp\/v2\/media?parent=254"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/esferas.org\/mldt\/wp-json\/wp\/v2\/categories?post=254"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/esferas.org\/mldt\/wp-json\/wp\/v2\/tags?post=254"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}