Guest User!

You are not Sophos Staff.

[9.270] Possible ssl/tls bug in web filtering on 9.265/9.270 and 9.209

I updated my installation to 9.209 (and later to 9.265 for testing) but I have problems with Web Filtering. As soon as I turn on Web Filtering with SSL scanning I can't browse any SSL sites.
If i disable SSL scanning I still get errors / timed out. I really had to disable Web Filtering completly to surf any SSL sites again.
Nothing helped. Tried skipping rules for certain sites and so on.

I then did a fresh install of 9.209 and even the actual beta of 9.3, but with no luck. Still the same issues with SSL sites.
Alpha 9.260 does work, as well as 9.208-8 did. Any newer version do not let me surf ssl sites, i get time outs, especially host not found.

Some Errors:

While trying to retrieve the URL:https://www.facebook.com/
The content could not be delivered due to the following condition: Host not found

2014:10:25-14:30:24 ThomaSOFT URID[7562]: T=7562 ------ 2 - Warning: EARLY TIMEOUT: dns context 0 has 5996 ms before it should time out\n
2014:10:25-14:31:09 ThomaSOFT URID[7562]: T=7562 ------ 2 - Warning: EARLY TIMEOUT: dns context 6 has 5996 ms before it should time out\n

btw. its not only https, its also tls in mail for pop3. Scan TLS encrypted POP3 traffic does not work when check box marked, as the proxy can't connect to the server. disabling this option let's me get my mails.

With stable 9.208-8 and 9.3 alpha 9.260 all is fine.
I posted this in the Up2Date section as well: https://community.sophos.com/products/unified-threat-management/astaroorg/f/52/t/29653
It seems not everybody have/had the problem as I did. I really had to go back to an older version to get ssl sites working again.
it's not about my config or certs, it's really a bug in web filtering.
with 9.260 alpha and the same config restored all is working fine. on beta 9.265 or 9.270 or stable 9.209 ssl sites do not work with web filtering enabled.
Parents
  • https://www.ssllabs.com/ssltest/viewMyClient.html:
    tested with FireFox 33.0.1 and Chrome Version 40.0.2201.0 canary (64-bit) while proxy in transparent mode:

    SSL/TLS Capabilities of Your Browser
    User Agent: Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/40.0.2201.0 Safari/537.36

    Other User Agents »
    SSL v3 POODLE Vulnerability
    Your user agent is not vulnerable.
    For more information about the POODLE attack, please read this blog post.
    Protocol Features

    Protocols*
    TLS 1.2 No
    TLS 1.1 No
    TLS 1.0 No
    SSL 3 No
    SSL 2 No


    Cipher Suites (in order of preference)
    TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014)   Forward Secrecy 256
    TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (0xc00a)   Forward Secrecy 256
    TLS_SRP_SHA_DSS_WITH_AES_256_CBC_SHA (0xc022) 256
    TLS_SRP_SHA_RSA_WITH_AES_256_CBC_SHA (0xc021) 256
    TLS_ECDH_RSA_WITH_AES_256_CBC_SHA (0xc00f) 256
    TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA (0xc005) 256
    TLS_RSA_WITH_AES_256_CBC_SHA (0x35) 256
    TLS_RSA_WITH_CAMELLIA_256_CBC_SHA (0x84) 256
    TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (0xc012)   Forward Secrecy 112
    TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc008)   Forward Secrecy 112
    TLS_SRP_SHA_DSS_WITH_3DES_EDE_CBC_SHA (0xc01c) 112
    TLS_SRP_SHA_RSA_WITH_3DES_EDE_CBC_SHA (0xc01b) 112
    TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA (0xc00d) 112
    TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc003) 112
    TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa) 112
    TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)   Forward Secrecy 128
    TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009)   Forward Secrecy 128
    TLS_SRP_SHA_DSS_WITH_AES_128_CBC_SHA (0xc01f) 128
    TLS_SRP_SHA_RSA_WITH_AES_128_CBC_SHA (0xc01e) 128
    TLS_ECDH_RSA_WITH_AES_128_CBC_SHA (0xc00e) 128
    TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA (0xc004) 128
    TLS_RSA_WITH_AES_128_CBC_SHA (0x2f) 128
    TLS_RSA_WITH_CAMELLIA_128_CBC_SHA (0x41) 128
    TLS_ECDHE_RSA_WITH_RC4_128_SHA (0xc011)   Forward Secrecy 128
    TLS_ECDHE_ECDSA_WITH_RC4_128_SHA (0xc007)   Forward Secrecy 128
    TLS_ECDH_RSA_WITH_RC4_128_SHA (0xc00c) 128
    TLS_ECDH_ECDSA_WITH_RC4_128_SHA (0xc002) 128
    TLS_RSA_WITH_RC4_128_SHA (0x5) 128
    TLS_RSA_WITH_RC4_128_MD5 (0x4) 128
    TLS_RSA_EXPORT_WITH_RC4_40_MD5 (0x3)   WEAK 40
    TLS_EMPTY_RENEGOTIATION_INFO_SCSV (0xff) -



    Protocol Details
    Server Name Indication (SNI) Yes
    Secure Renegotiation Yes
    TLS compression Yes   INSECURE
    Session tickets Yes
    OCSP stapling No
    Signature algorithms -
    Elliptic curves sect571r1, sect571k1, secp521r1, sect409k1, sect409r1, secp384r1, sect283k1, sect283r1, secp256k1, secp256r1, sect239k1, sect233k1, sect233r1, secp224k1, secp224r1, sect193r1, sect193r2, secp192k1, secp192r1, sect163k1, sect163r1, sect163r2, secp160k1, secp160r1, secp160r2
    Next Protocol Negotiation No
    Application Layer Protocol Negotiation No
    SSL 2 handshake compatibility No
    Mixed Content Handling

    Mixed Content
    Images Passive Yes
    CSS Active No
    Scripts Active No
    XMLHttpRequest Active Timeout
    WebSockets Active Test failed
    Frames Active No
    (1) These tests might cause a mixed content warning in your browser. That's expected.
    (2) If you see a failed test, try to reload the page. If the error persists, please get in touch.
  • Well I am glad that you have your setup working now.


    Protocols*
    TLS 1.2 No
    TLS 1.1 No
    TLS 1.0 No
    SSL 3 No
    SSL 2 No


    Just as a note, this seems concerning to me. The reason being that at least one of those protocols should be supported by your client. Even if you disable JavaScript in your browser the test usually identifies at least the protocol you are currently using when connecting to the site.

    If i had to guess, then your problem is that the client does not support SSL/TLS for whatever reason.
    The explanation what the * stands for is missing from the text, so it might not be to bad.

    You probably connected through the the proxy, try running the test without something in between the client and the server.

    Cheers,
    Robert
Reply
  • Well I am glad that you have your setup working now.


    Protocols*
    TLS 1.2 No
    TLS 1.1 No
    TLS 1.0 No
    SSL 3 No
    SSL 2 No


    Just as a note, this seems concerning to me. The reason being that at least one of those protocols should be supported by your client. Even if you disable JavaScript in your browser the test usually identifies at least the protocol you are currently using when connecting to the site.

    If i had to guess, then your problem is that the client does not support SSL/TLS for whatever reason.
    The explanation what the * stands for is missing from the text, so it might not be to bad.

    You probably connected through the the proxy, try running the test without something in between the client and the server.

    Cheers,
    Robert
Children
No Data