やあやあ。お仕事の山がひと段落して昼寝していたら怒涛の不機嫌な電話で叩き起こされた僕様ですよ。こんにちは。

SSLのwebページでフォームの値をPOSTで取得しようとしても値が取れないという謎事象。ついでにCSSが取れない、と。検索してもあまり情報当たらなかったから、メモだけ書いておきます。同じことで困った人いたら参考になれば。

環境

  • apache 1.3.41  mod_ssl 2.8.31-1.3.41 openssl-0.9.8b
  • 色々事情があって上げられないのです察してください

事象

  • chrome/IE8  SSLのページでPOSTしてもPOST値が渡らない
  • firefoxは大丈夫
  • POSTリクエストの直後のGETリクエストが失敗する。apacheのerror_logを見ると、次のようになっている。

Invalid method in request hoge=&fuga=&…. GET /css/nantoka_base.css HTTP/1.1

推察

対策

  • chromeのフォーラムにあった「chrome に —disable-ssl-false-startを付けて起動」を試してみたところ、期待通りの動作になったので、この問題で間違いなさそう
  • 可能ならApacheとかopensslとかその辺を新しくしちゃえばいい気がする
  • やんごとなき理由により出来ない場合(だった)、Microsoftさんの記事の対策が僕の場合は参考になった
    • サーバー側で RC4 を優先するよう設定する (Windows Server 2008, Windows Server 2008 R2)
    • TLS 1.1 を使用する
  • 今回はIE6を捨てられないので RC4のみを使えるようにapacheを設定したところ回避できた。以下のブラウザとりあえずOKぽい
    • chrome 16.0.192.77
    • IE 8.0.7601.17514
    • Fx 3.6.16
    • IE 6.0.2900.5512.xpsp_sp3_gdr.080814-1236 (@WindowsXP)

謎のメモ

[root@hagehgae conf]# openssl ciphers -v 'ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUM:-SSLv2:!AES:!3DES'
DHE-DSS-RC4-SHA         SSLv3 Kx=DH       Au=DSS  Enc=RC4(128)  Mac=SHA1
KRB5-RC4-MD5            SSLv3 Kx=KRB5     Au=KRB5 Enc=RC4(128)  Mac=MD5
KRB5-RC4-SHA            SSLv3 Kx=KRB5     Au=KRB5 Enc=RC4(128)  Mac=SHA1
RC4-SHA                 SSLv3 Kx=RSA      Au=RSA  Enc=RC4(128)  Mac=SHA1
RC4-MD5                 SSLv3 Kx=RSA      Au=RSA  Enc=RC4(128)  Mac=MD5

SSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUM:-SSLv2:!AES:!3DES

ほか

  • もし誰かの役に立てばということでまあご容赦を.
  • てか、とりあえずのワークアラウンドとしてはこれでいいと思うんですが、抜本的対策法(ARCFOURに絞らない)をご存じの方いらっしゃったら教えてください。
Written by bokusama in: 技術ねた,日記 | タグ: , , ,

2 Comments »

RSS feed for comments on this post. TrackBack URL



Leave a Reply

Template: TheBuckmaker.com Themes for WordPress | Web Hosting Plan Comparison, Slimdevices Squeezebox