SSL : Erreur de Handshake

[Kit]

Salut,

Mon serveur YunoHost

Matériel: serveur dédié distant
Version de YunoHost: 4.3.4.1
J’ai accès à mon serveur : En SSH
Êtes-vous dans un contexte particulier ou avez-vous effectué des modifications particulières sur votre instance ? : oui
Blocage des requètes NGinx hors France/Belgique (voir Tuto: Bloquer les requêtes selon le pays ). Testé en virant cette feature => le soucis perdure.

Description du problème

2 apps posent problèmes lors de l’accès via smartphone :

• Airsonic (version 10.6.2~ynh2 et ~ynh3, accès via l’appli Subsonic)
• TinyTinyRSS (version 20200916~ynh5, accès via l’appli dédiée).

Erreur rencontré : Handshake failed.

Extrait du message d’erreur sur l’app TinyTinyRSS : error:1000042e:SSL routines:OPENSSL_internal:TLSV1_ALERT_PROTOCOL_VERSION

J’ai pensé à un protocole trop ancien. J’ai testé ceci sur le serveur (via SSH) :

user@server:~$ python3 -c "import ssl; print(ssl.OPENSSL_VERSION)"
OpenSSL 1.1.1d  10 Sep 2019

Et voici un extrait de mon fichier /etc/nginx/conf.d/security.conf.inc :

# generated 2020-08-14, Mozilla Guideline v5.6, nginx 1.14.2, OpenSSL 1.1.1d, modern configuration
# https://ssl-config.mozilla.org/#server=nginx&version=1.14.2&config=modern&openssl=1.1.1d&guideline=5.6
ssl_protocols TLSv1.3;
ssl_prefer_server_ciphers off;

Si je jette un œil aux protocoles dans /etc/nginx/nginx.conf, j’ai :

        # SSL Settings
        ##

        ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # Dropping SSLv3, ref: POODLE
        ssl_prefer_server_ciphers on;

Ça semble clean, j’ai forcé le renouvellement du certificat Let’s Encrypt en cas de doute (et testé avec de l’auto-signé, même soucis), du coup je sèche un peu, là.

[Aleks]

@Kit

2 apps posent problèmes lors de l’accès via smartphone :

Ça ressemble à un problème de smartphone trop vieux, notamment parce que tu sembles utilises la conf nginx “moderne” (=TLS1.3 uniquement, plus de TLS1.2), qui n’est pas la conf par défaut justement parce qu’elle pose soucis de compabilité pour de vieux OS.

Quelle version d’Android (ou iOS ou autre) tu as sur ce smartphone ?

[Kit]

Android 8.1.0

Apparemment TLS1.3 est apparu avec Android 10.

Bien vu ! J’ai remis nginx en intermediate ( Security | Yunohost Documentation ).

Il me semble que ça fait un moment que je suis en “modern” pour les ciphers nginx, j’ignore pourquoi ça ne plante que maintenant.

Edit : Sans doute une restauration foireuse d’un backup qui était en “modern” alors que j’étais repassé en “intermediate”.