"1408F10B: routine SSL: SSL3_GET_RECORD: numero di versione errata chiamata:" su Indy

Question

Ho una web app che rende frequenti TIdHTTP le chiamate alle API di Google Analytics (circa 25,000-50,000 al giorno). Ogni tanto chiamate all'API falliscono con il messaggio di errore nella riga dell'oggetto (non spesso - meno di 1 su 1000 volte). Non sono mai stato in grado di trovare un modello per farlo accadere. E riprovare la chiamata fallita di solito funziona. Quindi sembra del tutto casuale.

Ho l'ultima versione di openssl (1.0.2.1 - 03/20/2015). E l'ultima versione di Indy (file di codice sorgente del 01/07/2015).

Di seguito è riportato il codice sorgente di base per effettuare queste chiamate.

Qualcuno ha qualche idea di cosa potrebbe essere?

Effettuare due chiamate simultanee all'API influisce su alcune cose (ciò avviene in una Web App multi-thread)?

IdSSLIOHandlerSocket1 := TIdSSLIOHandlerSocketOpenSSL.create(nil); 
IdSSLIOHandlerSocket1.PassThrough := True; 
IdHTTP := TIdHTTP.create(nil); 
IdHTTP.reusesocket := rsTrue; 
IdSSLIOHandlerSocket1.reusesocket := rsTrue; 
idhttp.handleredirects := True; 
with IdSSLIOHandlerSocket1 do begin 
    SSLOptions.Method := sslvTLSv1_2; 
    SSLOptions.SSLVersions := [sslvTLSv1_2]; 
    SSLOptions.VerifyMode := []; 
    SSLOptions.VerifyDepth := 2; 
end; 
with IdHTTP do begin 
    IOHandler := IdSSLIOHandlerSocket1; 
    ProxyParams.BasicAuthentication := False; 
    Request.UserAgent := 'EmbeddedAnalytics API Interface'; 
    Request.ContentType := 'text/html'; 
    request.connection := 'close'; 
    Request.Accept := 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8'; 
    Request.BasicAuthentication := False; 
    Request.UserAgent := 'Mozilla/3.0 (compatible; Indy Library)'; 
    HTTPOptions := [hoForceEncodeParams]; 
    Request.AcceptEncoding := 'gzip,deflate'; 
    Request.CustomHeaders.Add('Accept-Language: en-us,en;q=0.5'); 
    idhttp.Request.CustomHeaders.Add('Authorization: Bearer '+FToken); 
end; 
idhttp.get(':https://www.googleapis.com/analytics/v3/data/realtime?ids=..........'); 

Update 1 aggiornamento alcune righe di codice a:

SSLOptions.Method := sslvSSLv3; 
SSLOptions.SSLVersions := [sslvSSLv3]; 

Funziona. Controllerò e vedrò se gli errori SSL andranno via.

Soluzione Si scopre che è stato corretto apportare le modifiche a sslVSSLv3. Non ho più errori! Questo è un po 'sorprendente visto che la maggior parte degli altri servizi sta invece adottando TLS.

Answer 1

Problema risolto modificando questo:

SSLOptions.Method := sslvTLSv1_2; 
SSLOptions.SSLVersions := [sslvTLSv1_2]; 

A tal:

SSLOptions.Method := sslvSSLv3; 
SSLOptions.SSLVersions := [sslvSSLv3]; 

Si potrebbe desiderare di provare TLS 1.0, invece, per evitare SSLv3.

Ci sono due cose da considerare con Google e TLS 1.2. E alcuni di questi potrebbero essere cambiati ormai. (Questa discussione è molto specifica e si applica solo ai server di Google e TLS 1.2).

In primo luogo, è necessario disabilitare la compressione se si utilizza TLS 1.2 e ECDSA. Questo strano fatto è apparso in una discussione sulla mailing list OpenSSL sotto ECDHE-ECDSA Support. Ecco un ticket di supporto relativo generato: Bug 3277: OpenSSL s_client doc missing option.

In secondo luogo, se non si utilizzano i cifrari ChaCha20/Poly1305, è necessario prestare attenzione alle suite di crittografia fallback per TLS 1.2. Non sono mai riuscito a capirlo (soprattutto perché tutte le suite DH temporanee dovrebbero essere supportate), ma so che è il usato per il test. Quindi, essere sicuri di includere le seguenti per fallback (questo è necessario anche per i server Microsoft che eseguono IIS 8 (o forse 7) e precedenti):

• TLS_RSA_WITH_AES_256_CBC_SHA256
• TLS_RSA_WITH_AES_256_CBC_SHA
• TLS_RSA_WITH_AES_128_CBC_SHA256
• TLS_RSA_WITH_AES_128_CBC_SHA

Answer 2

Dubito che Google consenta ancora l'accesso ai propri server tramite SSLv3 (vedere attacco Poodle).

L'attacco BARBONCINO (che sta per "Imbottitura Oracle On degradata Legacy Encryption") è un uomo-in-the-middle exploit che si vantaggio di fallback Internet e software per la sicurezza dei clienti di SSL 3.0.

Così, se il cliente riceve un messaggio di errore SSLv3 relative vorrei contattare un esperto di rete per verificare se questo messaggio di errore può essere causato da un attacco di tipo man-in-the-middle.

Potrebbe anche essere un semplice problema di rete, in quanto non è riproducibile.

Per una diagnosi più approfondita, una registrazione di Wireshark sarebbe utile (per l'esperto, non per me).

Answer 3

Problema risolto modificando questo:

SSLOptions.Method := sslvTLSv1_2; 
SSLOptions.SSLVersions := [sslvTLSv1_2]; 

A tal:

SSLOptions.Method := sslvSSLv3; 
SSLOptions.SSLVersions := [sslvSSLv3]; 

Ciò è sorprendente visto che la maggior parte dei servizi si stanno muovendo per TLS, invece.