net::ERR_SSL_VERSION_OR_CIPHER_MISMATCH

Auf der Fehlerseite erscheint „ERR_SSL_VERSION_OR_CIPHER_MISMATCH“, in Automatisierungstools „net::ERR_SSL_VERSION_OR_CIPHER_MISMATCH“. In unseren Tests trat der Fehler sowohl bei einem Server auf, der nur TLS 1.0 unterstützt, als auch bei einem Server, der nur eine CAMELLIA-Suite mit RSA-Schlüsselaustausch anbietet.

Chrome, Edge and other Chromium browsers — "This site can't provide a secure connection … uses an unsupported protocol"

Was der Fehler bedeutet

Chrome und der Server haben keine gemeinsame TLS-Version oder Cipher Suite, daher ist kein Handshake möglich. Chrome unterstützt nur TLS 1.2 und 1.3 mit modernen Suites; Server, die auf TLS 1.0/1.1, RC4, 3DES oder andere veraltete Konfigurationen beschränkt sind, werden abgelehnt. Auf der Fehlerseite steht, die Website verwende ein nicht unterstütztes Protokoll („uses an unsupported protocol“).

Warum der Fehler auftritt

• Der Server unterstützt nur TLS 1.0 oder 1.1

  häufig

  Chrome hat TLS 1.0/1.1 im Jahr 2020 entfernt; alte Appliances, Drucker, NAS-Geräte und nicht mehr gewartete Server bieten noch immer nichts Neueres an.

• Keine unterstützte Cipher Suite

  häufig

  Server, die nur RC4, 3DES oder exotische Suites (CAMELLIA, SEED) mit RSA-Schlüsselaustausch zulassen, haben nichts, was Chrome verwenden würde.

• Der Edge-Server hat kein Zertifikat für den angefragten Namen

  gelegentlich

  Manche CDNs und Load Balancer brechen den Handshake ab, wenn für eine eigene Domain noch kein Zertifikat bereitgestellt wurde.

So behebst du den Fehler

1. 1.

   Herausfinden, was der Server anbietet

   Scheitert TLS 1.2 mit einer ECDHE-Suite, muss der Server aktualisiert werden.

   nmap --script ssl-enum-ciphers -p 443 legacy.example.com   # versions and suites offered
   echo | openssl s_client -connect legacy.example.com:443 -servername legacy.example.com -tls1_2 -brief

2. 2.

   Eigene Website: TLS 1.2/1.3 mit modernen Suites aktivieren

   Aktuelle Suites funktionieren mit jedem Browser, der in den letzten zehn Jahren erschienen ist.

   # nginx
   ssl_protocols TLSv1.2 TLSv1.3;
   ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;

3. 3.

   Websites hinter einem CDN: Zertifikatsstatus der Domain prüfen

   Stelle sicher, dass die Domain verknüpft und ihr Zertifikat ausgestellt ist, bevor du DNS auf die Edge-Server umstellst.

   CDN / hosting: check that the custom domain is attached and has an active certificate;
   some edges refuse the handshake for names without a certificate.

← Gesamte Signaturfehler-Datenbank durchsuchen