Newsgroup: it.comp.sicurezza.varie
Titolo: versione di TLS

Ho Firefox 35.0 e Windows 8.1 aggiornato anche con KB2977292. 
Oggi collegandomi a 
www.google.it
 mi è apparso questo messaggio:
 
"Si è verificato un errore durante la connessione a 
www.google.it
. Il
server ha rifiutato l’handshake in quanto il client ha effettuato il
downgrade a una versione di TLS inferiore a quella supportata dal
server. (Codice di errore: ssl_error_inappropriate_fallback_alert)"
 
Mi devo preoccupare? Il thread su SSL e POODLE mi sta mettendo
l'ansia.
https://www.certnazionale.it/news/2014/12/12/poodle-rischio-protocollo-tls/
 
 
 
cicero®
--
 
---
Questa e-mail è stata controllata per individuare virus con Avast antivirus.
http://www.avast.com
 
 

 
 
prova ad andare qui
 
https://www.ssllabs.com/ssltest/viewMyClient.html
 
 
e vedi cosa dice del tuo browser
 
 

e vedi cosa dice del tuo browser
 
Avevo già provato
http://i.imgur.com/6EiwTX7.jpg
 
e per questo non ero tranquillo


 cicero®
 
stando a quanto riportato il browser non ha problemi, è strano che "the
goog" si sia lamentato per un "TLS downgrade" causato dal browser ! Non
è che per caso hai qualche add-in che fa pasticci con SSL/TLS ?
 
 

è che per caso hai qualche add-in che fa pasticci con SSL/TLS ?
 
Oggi me l'ha rifatto un'altra volta, ma non è una costante. Non credo
che siano le estensioni, perché le uso da mesi.


 che siano le estensioni, perché le uso da mesi.
 
Strano che il problema si manifesti saltuariamente; non è che per caso
sei "dietro" ad un qualche proxy (magari uno di quelli "trasparenti") ?
 
Potresti controllare quale IP ti viene ritornato facendo un lookup DNS
per "
www.google.it
" ? Per chiarire, apri un prompt comandi ed immetti
 
nslookup 
www.google.it
 
 
sarebbe utile farlo ora e la prossima volta che riscontri il problema
 

 "trasparenti") ?
 
mumble
 
https://bugzilla.mozilla.org/show_bug.cgi?id=1072382
 
 
in teoria il bug avrebbe dovuto essere risolto ... :P
 

:: On Tue, 27 Jan 2015 16:06:45 +0100

rileggendo; anche al link di cui sopra suggeriscono che il problema
possa essere causato da un "transparent proxy" che funge da MiTM; a
questo punto... o si tratta di qualcosa implementato dal tuo ISP o da
chi gestisce la tua rete, o si tratta di qualcosa relativo al tuo AV,
oppure... beh, potresti avere dei clandestini "a bordo" (o sulla rete)
 
 

:: On Tue, 27 Jan 2015 16:09:23 +0100

possibile workaround:
 
https://bugzilla.mozilla.org/show_bug.cgi?id=1084025
 
 
http://kb.mozillazine.org/Security.tls.version.*
 
 
in pratica, entri in "about:config" cerchi TLS e poi imposti
 
security.tls.version.fallback-limit	2
 
a questo punto l'eventuale fallback da TLS 1.2 si fermerà a TLS 1.1 e
non "scenderà" a TLS 1.0; considera che, se impostando tale valore la
connessione a volte fallirà... il discorso proxy/MiTM sarà ancora più
valido :P !
 
 

nslookup 
www.google.it
 
 
Ecco:
http://i.imgur.com/Hp3qeWo.jpg
 


valido :P !
 
Ti ringrazio, per ora ho impostato a 2. Vediamo che succede


oppure... beh, potresti avere dei clandestini "a bordo" (o sulla rete)
 
Ho anche cambiato nella configurazione del router l'indirizzo DNS, che
era in automatico (ISP: Alice). Ho messo quello di Google. Spero vada
meglio.
Per i clandestini, finora non li ho trovati :-))


era in automatico (ISP: Alice). Ho messo quello di Google.
 
Oggi con l'indirizzo DNS di Google vado come una freccia, quindi forse
erano gli indirizzi automatici di Alice che rallentavano e impedivano
la navigazione.


 
http://www.avast.com
 
 
Salve anch'io ho lo stesso problema, volevo sapere quale fosse però il valore di default sulle nuove versioni di Firefox per la chiave citata.
Grazie.

 citata. Grazie.
 
immettendo "about:config" nella barra degli indirizzi puoi controllarlo
da solo, è gratis !
 
 

 
https://www.certnazionale.it/news/2014/12/12/poodle-rischio-protocollo-tls/
 
 
già che ci sei, visto che usi FF, prova ad installare questo
 
https://calomel.org/firefox_ssl_validation.html
 
 
;)
 


https://calomel.org/firefox_ssl_validation.html
 
 
Incredibile quanti siti siano "unsecured". Perfino Ebay, Amazon.
PayPal è addirittura "veri weak". Mentre per esempio il sito
https://p4werterxyz.wordpress.com/
 che credo sia gestito da qualcuno
che una volta frequentava questo gruppo (P4), è "strong"!
Come si spiega?


 
https://p4werterxyz.wordpress.com/
 
 
cliccando sullo "scudo" scoprirai che il certificato è quello
installato per default per tutti i siti su 
wordpress.com
 per cui non si
tratta di un'impostazione particolare del sito di cui sopra (che, tra
l'altro, non mi sembra abbia bisogno di SSL) ma semplicemente del
default per qualsiasi sito ospitato su 
wordpress.com
 
 

 Incredibile quanti siti siano "unsecured". Perfino Ebay, Amazon.
 
unsecured significa semplicemente che il sito non usa SSL (https) ma in
molti casi, questo viene usato per il login; prova ad esempio ad aprire
il sito di amazon e cliccare sul link di login :) 
 


Ma in tal caso, per capire, non si ricade nel "mixed content", che 
avrebbe comunque qualche rischio?
 
 
https://developer.mozilla.org/en-US/docs/Security/MixedContent
 

 
https://developer.mozilla.org/en-US/docs/Security/MixedContent
 
 
non esattamente, prima bisognerebbe capire bene la definzizione di
"mixed content", anche perchè, riempirsi la bocca di termini che non si
conoscono (e magari spargere addirittura il panico), è facile, ma è
altra cosa il trattare un problema in modo pacato e professionale :P
 


Mi sa che non hai capito che la mia era una domanda, non un'affermazione.