Với một số lý do, tôi không thể mở một số trang web HTTPS (không phải tất cả!) trên laptop Windows 10 của mình. Khi cố gắng mở trang web như vậy trong trình duyệt, nó hiển thị lỗi: "This site can't provide a secure connection". Các trang web không hiển thị trong Google Chrome, Opera, và các trình duyệt dựa trên Chromium. Không có HTTPS, tôi chỉ có thể mở một số trang web có trang cả qua HTTPS và HTTP. Nếu tôi cố gắng mở trang web HTTPS có vấn đề trong Google Chrome, lỗi trông như sau:
This site can't provide a secure connection. sitename.com sent an invalid response. ERR_SSL_PROTOCOL_ERROR
Hoặc như thế này:
This site can't provide a secure connection. sitename.com uses an unsupported protocol. ERR_SSL_VERSION_OR_CIPHER_MISMATCH. The client and server don't support a common SSL protocol version or cipher suite. This is likely to be caused when the server needs RC4, which is no longer considered secure.
Hoặc trong Mozilla Firefox :
Secure Connection Failed
Trong Opera và trình duyệt dựa trên Chromium, lỗi trông gần như giống nhau. Làm thế nào tôi có thể mở các trang web HTTPS này?
Câu Trả Lời
Như bạn có thể hiểu, vấn đề liên quan đến vấn đề kết nối SSL giữa trình duyệt của bạn và trang web bật HTTPS. Lý do có thể khác nhau. Trong bài viết này, tôi cố gắng thu thập tất cả các phương pháp khắc phục lỗi "This site can't provide a secure connection, ERR_SSL_PROTOCOL_ERROR" trong các trình duyệt phổ biến.
Tôi muốn lưu ý rằng mặc dù Google Chrome, Opera, và các trình duyệt dựa trên Chromium được phát hành bởi các công ty khác nhau, chúng sử dụng cùng một engine WebKit (Chromium), và vấn đề mở trang web HTTPS được giải quyết theo cùng một cách cho tất cả chúng.
Trước hết, hãy đảm bảo rằng đó không phải là vấn đề của chính trang web HTTPS. Thử mở từ thiết bị khác (điện thoại thông minh, máy tính bảng, PC nhà/văn phòng, v.v.). Cũng kiểm tra xem bạn có thể mở trang web có vấn đề trong trình duyệt khác: IE/Edge hoặc Mozilla Firefox.
Xóa Bộ Nhớ Đệm Trình Duyệt, Cookie, Và Reset SSL Cache
Bộ nhớ đệm và cookie trình duyệt thường gây ra vấn đề chứng chỉ SSL. Chúng tôi khuyên nên xóa bộ nhớ đệm và cookie trong trình duyệt trước. Trong Chrome, nhấn Ctrl + Shift + Delete (hoặc đi đến địa chỉ chrome://settings/clearBrowserData), chọn khoảng thời gian (All time) và nhấp Clear data.
Để xóa SSL cache trong Windows 10 hoặc 11:
- Đi đến Control Panel -> Internet Options;
- Nhấp tab Content;
- Nhấp nút Clear SSL State ;
- Thông báo "
The SSL cache was successfully cleared" sẽ xuất hiện; - Khởi động lại trình duyệt và kiểm tra xem lỗi ERR_SSL_PROTOCOL_ERROR có còn tồn tại không.
Vô Hiệu Hóa Tiện Ích Mở Rộng Trình Duyệt Bên Thứ Ba
Chúng tôi khuyên nên vô hiệu hóa (xóa) tiện ích mở rộng trình duyệt bên thứ ba, đặc biệt là ẩn danh, proxy, VPN, tiện ích mở rộng chống virus, và các add-on tương tự khác có thể can thiệp vào lưu lượng đến trang web đích. Bạn có thể xem danh sách tiện ích mở rộng Chrome đã bật trong Settings -> More Tools -> Extensions hoặc đi đến chrome://extensions/. Vô hiệu hóa tất cả tiện ích mở rộng đáng ngờ.
Kiểm Tra Cài Đặt Chống Virus Và Tường Lửa
Nếu bạn có chương trình chống virus hoặc tường lửa (thường được tích hợp vào chống virus như một module) cài đặt trên máy tính, chúng có thể chặn truy cập vào trang web. Để hiểu xem chống virus hoặc tường lửa của bạn có chặn truy cập trang web không, hãy thử tạm dừng chúng một lúc.
Nhiều chương trình chống virus có module tích hợp kiểm tra chứng chỉ SSL/TLS của trang web. Nếu chống virus phát hiện trang web đang dùng chứng chỉ không an toàn (hoặc tự ký) hoặc phiên bản giao thức SSL cũ (SSL 3.0 hoặc TLS 1.0), chống virus có thể chặn quyền truy cập của người dùng vào trang web như vậy. Thử tắt quét lưu lượng HTTP/HTTPS và chứng chỉ SSL. Trong các chương trình chống virus khác nhau, tùy chọn này có thể gọi khác nhau. Ví dụ:
- Tắt tùy chọn "
Enable SSL/TLS protocol filtering" trong ESET NOD32 Antivirus;
- Trong Avast tùy chọn gọi là "
Enable HTTPS scanning" (nằm dưới Settings -> Active Protection -> Web Shield -> Customize -> Main Settings);
- Tường lửa tích hợp (
Spider Gate) có thể chặn trang web trong Dr.Web antivirus; - Trong Kaspersky Internet Security Antivirus, đi đến Settings -> Advanced -> Network -> thêm trang web vào loại trừ hoặc chọn tùy chọn Do not scan encrypted connections.
Kiểm Tra Cài Đặt Ngày & Giờ
Ngày, giờ (hoặc múi giờ) không chính xác trên máy tính của bạn cũng có thể gây lỗi kết nối an toàn cho trang web HTTPS. Trong quá trình xác thực, hệ điều hành của bạn kiểm tra ngày chứng chỉ trang web được tạo, khi nó hết hạn và khi chứng chỉ của tổ chức cấp chứng chỉ sẽ hết hạn.
Đảm bảo rằng bạn có thời gian và múi giờ đúng. Nếu thời gian liên tục bị đặt lại, xem bài "Windows displays wrong time after reboot".
Cập Nhật Chứng Chỉ Gốc Windows
Nếu máy tính của bạn nằm trong phân đoạn mạng cách ly, không được cập nhật trong thời gian dài, hoặc cập nhật tự động bị tắt, nó có thể không có chứng chỉ gốc tin cậy mới (TrustedRootCA). Chúng tôi khuyên bạn nên luôn cài đặt bản cập nhật bảo mật mới nhất trong Windows.
Bạn có thể cập nhật thủ công danh sách chứng chỉ gốc tin cậy theo bài "Updating List of Trusted Root Certificates in Windows". Cũng, khuyến khích kiểm tra máy tính của bạn tìm chứng chỉ đáng ngờ hoặc không tin cậy với SigCheck. Nó có thể giúp ngăn chặn việc bắt lưu lượng HTTPS của bạn và một số vấn đề khác.
Vô Hiệu Hóa Hỗ Trợ Giao Thức QUIC
Đảm bảo hỗ trợ giao thức QUIC (Quick UDP Internet Connections) được bật trong Chrome. QUIC cho phép thiết lập kết nối nhanh hơn và thương lượng tất cả tham số TLS (HTTPS) khi kết nối đến trang web. Tuy nhiên, trong một số trường hợp, nó có thể gây vấn đề với kết nối SSL. Thử tắt QUIC:
- Đi đến
chrome://flags/#enable-quic; - Tìm tùy chọn Experimental QUIC protocol;
- Thay đổi giá trị từ Default thành Disabled;
- Khởi động lại Chrome.
Kiểm Tra Giao Thức TLS/SSL Được Hỗ Trời Bởi Trình Duyệt Và Web Server
Kiểm tra phiên bản giao thức TLS/SSL và phương pháp mã hóa (cipher suites) được hỗ trợ bởi trình duyệt của bạn. Để làm điều này, chỉ cần truy cập trang web https://clienttest.ssllabs.com:8443/ssltest/viewMyClient.html
Dịch vụ trực tuyến SSL Labs sẽ trả về danh sách giao thức và cipher suites mà trình duyệt của bạn hỗ trợ. Trong ví dụ của tôi, Chrome chỉ hỗ trợ TLS 1.3 và TLS 1.2. Tất cả các giao thức khác (TLS 1.1, TLS 1.0, SSL3, và SSL 2) bị tắt. Dưới đây là danh sách phương pháp mã hóa được hỗ trợ.
Cipher Suites (theo thứ tự ưu tiên)
- TLS_AES_128_GCM_SHA256
- TLS_CHACHA20_POLY1305_SHA256
- TLS_AES_256_GCM_SHA384
- TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
- TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
- TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
- TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
- TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
- TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
- TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
- TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
- TLS_RSA_WITH_AES_128_GCM_SHA256
- TLS_RSA_WITH_AES_256_GCM_SHA384
- TLS_RSA_WITH_AES_128_CBC_SHA
- TLS_RSA_WITH_AES_256_CBC_SHA
Danh sách đầy đủ cipher suites được bật trong Windows có thể xem bằng PowerShell:
Get-TlsCipherSuite | Format-Table -Property CipherSuite, Name
Sau đó kiểm tra danh sách giao thức TLS/SSL được hỗ trợ bởi trang web. Để làm điều này, dùng dịch vụ kiểm tra SSL trực tuyến https://www.ssllabs.com/ssltest/analyze.html?d=domain.com (thay domain.com bằng địa chỉ trang web bạn muốn kiểm tra).
Kiểm tra xem tất cả phiên bản TLS/SSL được hỗ trợ bởi trang web có có sẵn trong trình duyệt của bạn không.
Trong ví dụ này, bạn thấy trang web không hỗ trợ TLS 3.1, SSL 3.0, và SSL 2.0. Cũng so sánh danh sách Cipher Suite.
Nếu phương pháp mã hóa không được hỗ trợ bởi trình duyệt của bạn, bạn có thể cần bật nó trong Windows.
Nếu trang web không hỗ trợ giao thức SSL mà client yêu cầu, bạn sẽ thấy lỗi "This site cannot provide a secure connection" trong trình duyệt khi kết nối đến trang web bật HTTPS.
Bật Hỗ Trợ Giao Thức TLS/SSL Cũ
Và điều cuối cùng – có thể xảy ra việc chỉ cần bật hỗ trợ giao thức TLS và SSL cũ để giải quyết vấn đề. Trong hầu hết các trường hợp, đây là phương pháp hiệu quả nhất, nhưng tôi cố ý đặt mục này ở cuối bài viết. Tôi sẽ giải thích tại sao.
Các phiên bản giao thức TLS và SSL cũ bị tắt không chỉ vì nhà phát triển muốn thế. Đó là do số lượng lớn lỗ hổng bảo mật cho phép hacker đánh cắp dữ liệu trong lưu lượng HTTPS hoặc thậm chí sửa đổi chúng. Vô tư duy bật các giao thức cũ này ảnh hưởng đến bảo mật của bạn trên Internet, vì vậy bạn không nên dùng phương pháp này trừ khi không có cách nào khác giúp.
Trên trình duyệt và hệ điều hành hiện đại, các giao thức SSL/TLS cũ và dễ bị tấn công bị tắt mặc định (SSL 2.0, SSL 3.0, và TLS 1.1). Hiện tại, khuyến khích chỉ dùng TLS 1.2 hoặc TLS 1.3 cho kết nối SSL.
Nếu webserver (trang web) dùng phiên bản giao thức SSL/TLS cũ hơn được hỗ trợ bởi client (trình duyệt) của bạn, người dùng sẽ thấy lỗi khi thiết lập kết nối an toàn ERR_SSL_VERSION_OR_CIPHER_MISMATCH. Lỗi này xuất hiện nếu client trong giai đoạn TLS Handshake đã phát hiện trang web dùng giao thức mã hóa hoặc độ dài khóa không được hỗ trợ bởi trình duyệt của bạn. Ở trên chúng tôi đã chỉ cách xác định tập hợp giao thức và cipher được hỗ trợ bởi server.
Để cho phép các phiên bản cũ của giao thức SSL/TLS được dùng trên Windows (lưu ý lại lần nữa rằng điều này không an toàn!):
- Mở Control Panel -> Internet Options;
- Đi đến tab Advanced;
- Bật TLS 1.0, TLS 1.1 và TLS 1.2 (nếu không giúp, bật SSL 3.0, 2.0 cũng được);
- Khởi động lại trình duyệt.
Nếu không một phương pháp nào ở trên giúp loại bỏ lỗi "This site can't provide a secure connection", hãy thử các điều sau:
- Đảm bảo không có bản ghi tĩnh trong file
C:\Windows\System32\drivers\etc\hostFile hosts có thể dùng trong Windows, trong số khác, để chặn truy cập domain và trang web:Get-Content $env:SystemRoot\System32\Drivers\etc\hosts; - Thử dùng máy chủ DNS công cộng, như DNS của Google. Trong cài đặt kết nối mạng, chỉ định địa chỉ IP 8.8.8.8 làm địa chỉ DNS ưu tiên;
- Trong Control Panel -> Internet Options, đảm bảo mức bảo mật cho vùng Internet là Medium-high hoặc Medium. Nếu High được chọn, một số kết nối SSL có thể bị chặn bởi trình duyệt;
- Có thể vấn đề liên quan đến chứng chỉ trang web. Kiểm tra nó bằng SSL Checker trực tuyến;
- Nếu máy tính của bạn dùng VPN hoặc proxy server được cấu hình trong cài đặt Windows, thử tắt chúng;
- Đảm bảo TLS 1.3 được bật trong Chrome. Đi đến phần cài đặt (
chrome://flags) trong thanh địa chỉ. Tìm tùy chọn TLS 1.3. Đảm bảo nó được đặt thành Enabled hoặc Default. Nếu bị tắt, hãy bật nó;
- Nếu bạn dùng một trong các phiên bản OS cũ (Windows XP hoặc Windows 7), cài trình duyệt Mozilla Firefox thay vì Chrome. Khác với engine dựa trên Chromium, Firefox dùng module triển khai riêng cho giao thức mã hóa SSL/TLS thay vì những module tích hợp trong Windows.