Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Replies 10 replies
  • Subscribers 0 subscribers
  • Views 5268 views
  • Users 0 members are here
Options
Suggested

[9.270] Possible ssl/tls bug in web filtering on 9.265/9.270 and 9.209

AmigoHD
I updated my installation to 9.209 (and later to 9.265 for testing) but I have problems with Web Filtering. As soon as I turn on Web Filtering with SSL scanning I can't browse any SSL sites.
If i disable SSL scanning I still get errors / timed out. I really had to disable Web Filtering completly to surf any SSL sites again.
Nothing helped. Tried skipping rules for certain sites and so on.

I then did a fresh install of 9.209 and even the actual beta of 9.3, but with no luck. Still the same issues with SSL sites.
Alpha 9.260 does work, as well as 9.208-8 did. Any newer version do not let me surf ssl sites, i get time outs, especially host not found.

Some Errors:

While trying to retrieve the URL:https://www.facebook.com/
The content could not be delivered due to the following condition: Host not found

2014:10:25-14:30:24 ThomaSOFT URID[7562]: T=7562 ------ 2 - Warning: EARLY TIMEOUT: dns context 0 has 5996 ms before it should time out\n
2014:10:25-14:31:09 ThomaSOFT URID[7562]: T=7562 ------ 2 - Warning: EARLY TIMEOUT: dns context 6 has 5996 ms before it should time out\n

btw. its not only https, its also tls in mail for pop3. Scan TLS encrypted POP3 traffic does not work when check box marked, as the proxy can't connect to the server. disabling this option let's me get my mails.

With stable 9.208-8 and 9.3 alpha 9.260 all is fine.
I posted this in the Up2Date section as well: https://community.sophos.com/products/unified-threat-management/astaroorg/f/52/t/29653
It seems not everybody have/had the problem as I did. I really had to go back to an older version to get ssl sites working again.
it's not about my config or certs, it's really a bug in web filtering.
with 9.260 alpha and the same config restored all is working fine. on beta 9.265 or 9.270 or stable 9.209 ssl sites do not work with web filtering enabled.
  • 0
    Hi AmigoHD,
    Thanks you for posting your issue here.

    I am working for the proxy team and so I can not speak to your mail issue, but I can try and help you with the proxy. I tried to reproduce the issue in our lab but had no luck. We have to settle on remote debugging [;)]. There are a few culprits that come to mind when reading your post. Please bear with me I want to go through all the culprits methodically, to make sure we do not miss anything.

    SSL/TLS:
    The first thing that could be the issue with TLS/SSL is that the mitigation of POODLE could be a problem in your case. This should not be a problem if you don't use Windows XP and Internet Explorer 6. To test if this is really not the case you can use SSLLabs browser test under: https://www.ssllabs.com/ssltest/viewMyClient.html
    If your client speaks any of the TLS protocols something else is the problem.

    Client does not trust the proxy CA:
    Maybe your browser does not establish the SSL/TLS connection because it does not trust the provided cert.
    Did you try to install the CA that the UTM proxy uses? You can find the certificate under 'Web Protection' => 'Filtering Options'=>'HTTPS CAs'=> 'Signing CA'=> 'Download' the CA and save as 'PEM'. The quickest way to test this, is to use Firefox and install the CA. To do this go to 'Options'=> 'Advanced'=>'Certificates'=> 'View Certificates'=>'Authorities' and 'Import' the CA that you downloaded. Try if you can connect to Facebook now.

    DNS:
    Are you able to resolve Facebook from the UTM? Try to log into the UTM over ssh and run 'host facebook.com' to check if DNS might be a problem.

    If all of the above points did not help pinpoint your issue, could you provide me with information on what browser and which version you are using? Is there anything specific to your network setup?

    If you don't want to post the information to the Forums you can PM me for my mail address.

    Thanks,
    Robert
  • 0
    https://www.ssllabs.com/ssltest/viewMyClient.html:
    tested with FireFox 33.0.1 and Chrome Version 40.0.2201.0 canary (64-bit) while proxy in transparent mode:

    SSL/TLS Capabilities of Your Browser
    User Agent: Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/40.0.2201.0 Safari/537.36

    Other User Agents »
    SSL v3 POODLE Vulnerability
    Your user agent is not vulnerable.
    For more information about the POODLE attack, please read this blog post.
    Protocol Features

    Protocols*
    TLS 1.2 No
    TLS 1.1 No
    TLS 1.0 No
    SSL 3 No
    SSL 2 No


    Cipher Suites (in order of preference)
    TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014)   Forward Secrecy 256
    TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (0xc00a)   Forward Secrecy 256
    TLS_SRP_SHA_DSS_WITH_AES_256_CBC_SHA (0xc022) 256
    TLS_SRP_SHA_RSA_WITH_AES_256_CBC_SHA (0xc021) 256
    TLS_ECDH_RSA_WITH_AES_256_CBC_SHA (0xc00f) 256
    TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA (0xc005) 256
    TLS_RSA_WITH_AES_256_CBC_SHA (0x35) 256
    TLS_RSA_WITH_CAMELLIA_256_CBC_SHA (0x84) 256
    TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (0xc012)   Forward Secrecy 112
    TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc008)   Forward Secrecy 112
    TLS_SRP_SHA_DSS_WITH_3DES_EDE_CBC_SHA (0xc01c) 112
    TLS_SRP_SHA_RSA_WITH_3DES_EDE_CBC_SHA (0xc01b) 112
    TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA (0xc00d) 112
    TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc003) 112
    TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa) 112
    TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)   Forward Secrecy 128
    TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009)   Forward Secrecy 128
    TLS_SRP_SHA_DSS_WITH_AES_128_CBC_SHA (0xc01f) 128
    TLS_SRP_SHA_RSA_WITH_AES_128_CBC_SHA (0xc01e) 128
    TLS_ECDH_RSA_WITH_AES_128_CBC_SHA (0xc00e) 128
    TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA (0xc004) 128
    TLS_RSA_WITH_AES_128_CBC_SHA (0x2f) 128
    TLS_RSA_WITH_CAMELLIA_128_CBC_SHA (0x41) 128
    TLS_ECDHE_RSA_WITH_RC4_128_SHA (0xc011)   Forward Secrecy 128
    TLS_ECDHE_ECDSA_WITH_RC4_128_SHA (0xc007)   Forward Secrecy 128
    TLS_ECDH_RSA_WITH_RC4_128_SHA (0xc00c) 128
    TLS_ECDH_ECDSA_WITH_RC4_128_SHA (0xc002) 128
    TLS_RSA_WITH_RC4_128_SHA (0x5) 128
    TLS_RSA_WITH_RC4_128_MD5 (0x4) 128
    TLS_RSA_EXPORT_WITH_RC4_40_MD5 (0x3)   WEAK 40
    TLS_EMPTY_RENEGOTIATION_INFO_SCSV (0xff) -



    Protocol Details
    Server Name Indication (SNI) Yes
    Secure Renegotiation Yes
    TLS compression Yes   INSECURE
    Session tickets Yes
    OCSP stapling No
    Signature algorithms -
    Elliptic curves sect571r1, sect571k1, secp521r1, sect409k1, sect409r1, secp384r1, sect283k1, sect283r1, secp256k1, secp256r1, sect239k1, sect233k1, sect233r1, secp224k1, secp224r1, sect193r1, sect193r2, secp192k1, secp192r1, sect163k1, sect163r1, sect163r2, secp160k1, secp160r1, secp160r2
    Next Protocol Negotiation No
    Application Layer Protocol Negotiation No
    SSL 2 handshake compatibility No
    Mixed Content Handling

    Mixed Content
    Images Passive Yes
    CSS Active No
    Scripts Active No
    XMLHttpRequest Active Timeout
    WebSockets Active Test failed
    Frames Active No
    (1) These tests might cause a mixed content warning in your browser. That's expected.
    (2) If you see a failed test, try to reload the page. If the error persists, please get in touch.
  • 0
    the proxy CA is fine. with 9.208-8 and erlier or beta 9.260 all is fine, just with higher versions ssl sites gets host not found, even when web filtering is disabled completly (not only ssl scanning).

    i will try again with 9.209 and then try to run 'host facebook.com' from the utm.
  • 0
    host facebook.com
    facebook.com has address 173.252.120.6
    facebook.com has IPv6 address 2a03:2880:2130:cf05:face:b00c:0:1
    facebook.com mail is handled by 10 msgin.vvv.facebook.com.

    this seems to work. but in all browsers i get host not found with 9.209. working with 9.208-8.
  • 0
    it seems I got it to work. Had to do a factory reset (no backup deploying), regenarete new CA authority cert and now it works with 9.209. strange...
  • 0 in reply to AmigoHD
    Well I am glad that you have your setup working now.


    Protocols*
    TLS 1.2 No
    TLS 1.1 No
    TLS 1.0 No
    SSL 3 No
    SSL 2 No


    Just as a note, this seems concerning to me. The reason being that at least one of those protocols should be supported by your client. Even if you disable JavaScript in your browser the test usually identifies at least the protocol you are currently using when connecting to the site.

    If i had to guess, then your problem is that the client does not support SSL/TLS for whatever reason.
    The explanation what the * stands for is missing from the text, so it might not be to bad.

    You probably connected through the the proxy, try running the test without something in between the client and the server.

    Cheers,
    Robert
  • 0
    Protocols*
    TLS 1.2 Yes
    TLS 1.1 Yes
    TLS 1.0 Yes
    SSL 3 Yes
    SSL 2 No

    this is chrome with web filtering disabled in 9.209. when I check my friends top configured server for highest ciphers availabe I get:

    https://www.skulblaka.ch/ssl.php
    TLS 1.2 (with web filtering disabled)
    TLS 1.1 (with web filter and ssl scanning enabled)
    cipher is always ECDHE-RSA-AES256-SHA (with and without ssl proxy enabled)

    so it seems Sophos UTM doesn't yet support tls 1.2 forward secrecy.
    something to optimize here?

    something is strange, too.
    with chrome i only get RC4_128_SHA while with FireFox I get AES_256_SHA when surfing facebook while web filtering with ssl scan is enabled. I guess this is just the re-enryption between UTM and client.

    do i need to concern about this? how to opzimize? any way to disable RC4 on the utm? if so, how to do.
  • 0
    got it wo work with "cc set http tlsciphers_client" commands and then desired ciphers.

    Protocols*
    TLS 1.2 No
    TLS 1.1 Yes
    TLS 1.0 Yes
    SSL 3 No
    SSL 2 No

    With Firefox.
  • 0 in reply to AmigoHD
    As you already figured out on your own, you can change the used ciphers through confd client by changing tlsciphers_client and tlsciphers_server. 

    We can't remove RC4 from the cipher list, because a lot of websites do still use it. And we don't want to disable SSL altogether for those sites.

    Cheers,
    Robert
  • 0
    Does support for TLS1.2 icluding perfect forward secrecy come with UTM 9.3?
Unfiltered HTML