Tại sao Internet Explorer 11 không thể kết nối với các trang web HTTPS khi TLS 1.2 được bật?

Thông thường tôi không sử dụng Internet Explorer. Tôi chỉ sử dụng nó trong thời gian thiết kế để kiểm tra giao diện (máy phát triển và với http không được mã hóa). Mỗi tuần tôi chạy thử nghiệm máy chủ SSL Labs cho biết IE11 có thể truy cập các trang web của tôi.

Hôm nay tôi phát hiện ra một vấn đề với một trong các dịch vụ bên thứ 3 của tôi. Một số chức năng đặc biệt không hoạt động với Chrome hoặc Firefox nên tôi đã khởi chạy IE11 trên máy Windows 7 của mình. Và IE11 cho tôi thấy một phù thủy trang lỗi tích hợp về cơ bản chỉ nói rằng "trang không thể hiển thị". Và hình nộm bla bla điển hình như kiểm tra DNS và như vậy. Hoàn toàn không có dấu hiệu của một vấn đề liên quan đến mã hóa trên toàn bộ trang lỗi (như trình duyệt thông thường sẽ làm).

Một vài tháng trước, đã xảy ra sự cố này, điều này schannelngăn các TLS1.2 cho phép IE truy cập các trang web HTTPS. Từ thời điểm đó, "danh sách kiểm tra WTF cho IE" của tôi chứa "vô hiệu hóa TLS1.2" làm điểm kiểm tra. Và tôi nên nói gì ... vô hiệu hóa TLS1.2 trong IE đã hoạt động và trang web của tôi có sẵn một lần nữa . Nhưng tôi không thể làm điều này trên trình duyệt của khách truy cập.

Bây giờ đến câu hỏi thực tế: Tại sao Internet Explorer 11 không thể kết nối với trang web HTTPS của tôi khi TLS 1.2 được bật trong IE? Và làm thế nào để sửa nó trên phía máy chủ? SSL Labs đang nói rằng mọi thứ đều ổn trên trang web của tôi .

Chỉnh sửa Imporant: Dường như IE11 chỉ có thể xử lý miền không có tiền tố và không phải là miền có tiền tố khi TLS1.2 được bật. tên miền không có tiền tố (www) hoạt động trong khi tên miền bao gồm tiền tố (www) sẽ không hoạt động .

Về phía máy chủ, tôi đang sử dụng debian / 7 nginx / 1.7.8 openssl / 1.0.1e

Mật mã có sẵn là: ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:-DES:!RC4:!MD5:!PSK:!aECDH:EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

Bạn cũng đã bật SSL 2.0 chưa?

Theo http://support.microsoft.com/en-us/kb/2851628 "SSL 2.0 và TLS 1.2 không tương thích với nhau trong Windows 7 và các hệ điều hành mới hơn. Để sử dụng chứng chỉ phía máy khách để thiết lập kết nối HTTPS trên TLS 1.2, bạn phải tắt SSL 2.0 ".

Gặp vấn đề này ngày hôm nay với IE11 trên Win 7 (được cập nhật đầy đủ với các bản cập nhật quan trọng, nhưng không phải là tùy chọn), khi sử dụng bộ Trung cấp của Mozilla , hoạt động tốt với IE8 trên XP và được cho là hoạt động với IE7 +. Tôi nghĩ rằng tôi đã đăng ở đây là vấn đề này không xuất hiện nhiều trên google.

Dành thời gian với wireshark để tìm ra sửa đổi tối thiểu cần thiết để làm cho nó hoạt động. Tuyên bố miễn trừ trách nhiệm: Tôi không phải là chuyên gia về tiền điện tử, có thể có một cách tốt hơn để làm điều này. Nhưng nó không thay đổi đánh giá ssllabs.com của tôi cả.

Di chuyển ECDHE-RSA-AES128-SHA256 (cái đầu tiên hoạt động cho IE11) lên trên kEDH + AESGCM và DHE-RSA-AES128-GCM-SHA256, cho bộ trung gian dẫn đến:

ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

Giải pháp duy nhất tôi đã tìm thấy: http://www.techsupportall.com/solve-cannot-access-secure-sites-https-websites-not-opening-view/
Có hướng dẫn cách REGSVR cho Internet Explorer.