Cách Khắc Phục "Mã Lỗi: ssl_error_handshake_failure_alert" Trên Trình Duyệt

Lỗi bắt tay SSL (SSL handshake error) khá phổ biến đối với trang web phải xác minh tính hợp pháp của người dùng truy cập (đôi khi qua thiết bị phần cứng mật mã hoặc thẻ). Lỗi được hiển thị bởi tất cả trình duyệt chính (Firefox, Chrome, Edge, v.v.) trên tất cả hệ điều hành máy tính để bàn chính (Windows, Mac, Linux, v.v.). Thường thì loại thông báo sau được hiển thị:

Lỗi bắt tay SSL là sự thất bại giao tiếp giữa máy chủ và máy khách bằng giao thức SSL. Điều này có thể do yếu tố phía máy khách cũng như phía máy chủ. Dưới đây là các nguyên nhân chủ yếu được báo cáo gây ra lỗi bắt tay:

• Dữ Liệu Trình Duyệt Bị Hỏng (Corrupt Browser Data): Nếu dữ liệu trình duyệt (cookie, bộ nhớ đệm, v.v.) bị hỏng, nó có thể không tải đúng chứng chỉ được yêu cầu bởi trang web, dẫn đến vấn đề bắt tay SSL.
• Cấu Hình Sai Bảo Mật Trình Duyệt Hoặc Java: Nếu trình duyệt hoặc bảo mật Java "nghĩ" một trang web rủi ro, nó có thể không mở trang web với cảnh báo bắt tay SSL.
• Can Thiệp Từ Ứng Dụng Bảo Mật Hệ Thống: Nếu antivirus/tường lửa hệ thống chặn một gói dữ liệu cụ thể ("nghĩ" nó rủi ro), trình duyệt có thể không tải trang web với cảnh báo bắt tay SSL.
• Cài Đặt Chứng Chỉ Không Đúng (Improper Installation of the Certificate): Một số trang web yêu cầu chứng chỉ cài đặt ở vị trí cụ thể trong hệ điều hành và nếu chứng chỉ không có ở đó mà ở nơi khác, trang web có thể không phản hồi trình duyệt, khiến trình duyệt hiển thị cảnh báo thất bại bắt tay SSL.

Cập Nhật Trình Duyệt Lên Bản Build Mới Nhất

Trình duyệt có thể hiển thị SSL_error_handshake_failure_alert nếu nó lỗi thời vì có thể dẫn đến không tương thích với các trang web khác nhau. Ở đây, cập nhật trình duyệt lên phiên bản mới nhất có thể giải quyết vấn đề. Để minh họa, chúng ta sẽ thảo luận quy trình cho Google Chrome. Nhưng trước đó, nếu trang web gây vấn đề yêu cầu thiết bị mật mã hoặc thẻ để xác định người dùng, hãy chắc chắn driver đúng của thiết bị được cài đặt và đang được sử dụng.

1. Mở trình duyệt Chrome và ở góc trên bên phải, nhấp vào ba chấm dọc để mở menu Chrome.
2. Bây giờ chọn Settings (Cài đặt) và ở ngăn bên trái, đi đến tab About Chrome (Giới thiệu Chrome).
3. Sau đó, ở ngăn bên phải, chắc chắn Google Chrome được cập nhật lên bản build mới nhất, và sau đó kiểm tra xem lỗi bắt tay SSL có được khắc phục không.
4. Nếu không và vấn đề bắt đầu xảy ra sau cập nhật trình duyệt, hãy kiểm tra xem cài đặt phiên bản cũ hơn có giải quyết vấn đề thất bại bắt tay không.

Xóa Chứng Chỉ Gây Vấn Đề Trong Trình Quản Lý Chứng Chỉ Của Trình Duyệt

Nếu chứng chỉ trang web trong trình quản lý chứng chỉ của trình duyệt bị hỏng, trình duyệt có thể ném ra SSL_error_handshake_failure_alert. Trong kịch bản này, người dùng có thể khắc phục bằng cách xóa chứng chỉ trang web gây vấn đề trong cài đặt trình duyệt. Để minh họa, chúng ta sẽ thảo luận quy trình cho Firefox.

1. Khởi chạy Firefox và nhấp vào biểu tượng hamburger (gần góc trên bên phải).
2. Sau đó chọn Settings (Cài đặt) và ở ngăn bên trái, đi đến tab Privacy & Security (Riêng tư & Bảo mật).
3. Bây giờ, cuộn xuống cho đến khi phần Certificates (Chứng chỉ) hiển thị, và sau đó nhấp vào nút View Certificates (Xem chứng chỉ).
4. Sau đó, đi đến tab Your Certificates (Chứng chỉ của bạn) và chọn chứng chỉ trang web gây vấn đề.
5. Bây giờ nhấp Delete (Xóa) và sau đó confirm (Xác nhận) để xóa chứng chỉ. Sau đó, chắc chắn không có chứng chỉ từ trang web gây vấn đề trong tab Server's và bất kỳ CA liên quan nào trong tab Authorities (Thẩm quyền).
6. Sau đó khởi chạy lại trình duyệt Firefox và sau đó, kiểm tra xem lỗi bắt tay SSL có được khắc phục không.

Nếu không hiệu quả, hãy kiểm tra xem dùng mạng khác hoặc loại mạng khác (ví dụ: nếu gặp vấn đề trên ethernet, thì dùng Wi-Fi) có khắc phục được không.

Xóa Cookie, Bộ Nhớ Đệm, Và Dữ Liệu Trình Duyệt

Nếu bất kỳ cookie, bộ nhớ đệm, dữ liệu trình duyệt nào bị hỏng, trình duyệt có thể hiển thị lỗi bắt tay SSL. Trong ngữ cảnh này, xóa cookie, bộ nhớ đệm, dữ liệu trình duyệt có thể khắc phục lỗi SSL. Để minh họa, chúng ta sẽ thảo luận quy trình xóa cookie, bộ nhớ đệm, dữ liệu của Chrome.

1. Khởi chạy trình duyệt Chrome và ở góc trên bên phải, nhấp vào ba chấm dọc.
2. Bây giờ di chuột qua More Tools (Công cụ khác) và chọn Clear Browsing Data (Xóa dữ liệu duyệt web).
3. Sau đó, trong tab Advanced (Nâng cao) của cửa sổ kết quả, nhấp Sign Out (Đăng xuất) (gần dưới cửa sổ) để giữ dữ liệu trong tài khoản Google.
4. Bây giờ chọn Time Range (Khoảng thời gian) All-Time (Tất cả thời gian) và checkmark (đánh dấu) tất cả categories (danh mục).
5. Sau đó nhấp nút Clear Data (Xóa dữ liệu) và khi xong, khởi động lại hệ thống.
6. Sau khởi động, kiểm tra xem SSL_error_handshake_failure_alert có được khắc phục không.

Thử Trình Duyệt Khác

SSL_error_handshake_failure_alert có thể là kết quả của bug trong trình duyệt đang dùng. Ở đây, dùng trình duyệt khác có thể cho người dùng truy cập trang web gây vấn đề mà không vấn đề.

1. Tải xuống và cài đặt trình duyệt khác trên hệ thống (nếu chưa có). Tốt hơn dùng trình duyệt ưu tiên của hệ điều hành (như Edge cho Windows, Safari cho Mac, Firefox cho Linux, Chrome cho Chromebook).
2. Bây giờ khởi chạy trình duyệt thứ hai và kiểm tra xem trang web có thể truy cập không mà không kích hoạt lỗi bắt tay SSL.

Đặt Lại Tùy Chọn Internet Của Hệ Thống Về Mặc Định

Trên máy Windows, Internet Options (Tùy chọn Internet) bao gồm nhiều cài đặt cơ bản được dùng bởi hệ điều hành và ứng dụng để truy cập Internet. Việc cấu hình sai Internet Options hoặc trình quản lý chứng chỉ bị hỏng, thì đặt lại Internet Options về mặc định có thể giải quyết vấn đề.

1. Nhấp Windows, tìm, và mở Internet Options.
2. Bây giờ, đi đến tab Advanced (Nâng cao) và nhấp vào Restore Advanced Settings (Khôi phục cài đặt nâng cao).
3. Sau đó, trong phần Reset Internet Explorer Settings, nhấp vào Reset (Đặt lại) và tích chọn Delete Personal Settings (Xóa cài đặt cá nhân).
4. Bây giờ nhấp Reset và sau đó, khởi động lại hệ thống.
5. Sau khởi động, kiểm tra xem lỗi bắt tay SSL của trình duyệt có được khắc phục không.

Thêm Trang Web Vào Danh Sách Tin Cậy Trong Trình Duyệt

Nếu vấn đề vẫn còn, thêm trang web vào danh sách tin cậy trong trình duyệt có thể giải quyết. Để minh họa, chúng ta sẽ hướng dẫn quy trình trên Firefox.

Cảnh báo:

Tiến hành tại eigene rủi ro vì thêm trang web rủi ro vào danh sách tin cậy có thể lộ dữ liệu, hệ thống, mạng ra mối đe dọa.

1. Khởi chạy trình duyệt Firefox và đi đến trang web gây vấn đề.
2. Bây giờ sao chép URL hoàn chỉnh của trang web từ thanh địa chỉ và nhập sau đây vào thanh địa chỉ:

   about:config

   
3. Sau đó nhấp Accept Risk and Continue (Chấp nhận rủi ro và tiếp tục).  
4. Sau đó nhập sau đây trong hộp Search Preference Name (Tìm tên tùy chọn):

   tls.insecure_fallback_hosts

5. Bây giờ nhấp vào biểu tượng Edit (Sửa) và nhập URL của trang web gây vấn đề.
6. Sau đó nhấp vào biểu tượng Tick (Dấu tích) và khởi chạy lại Firefox.
7. Sau khởi chạy lại, kiểm tra xem trang web gây vấn đề có thể mở không mà không kích hoạt lỗi SSL. Hãy nhớ bạn có thể thấy cảnh báo vàng bật lên trên trang web từ Firefox không nhập thông tin mật trên trang web.

Chỉnh Sửa Cài Đặt Bảo Mật Của Trình Duyệt

Lỗi bắt tay SSL có thể do cấu hình kém của trang web gây vấn đề và chỉnh sửa bảo mật trình duyệt có thể cho người dùng truy cập trang web. Để minh họa, chúng ta sẽ thảo luận quy trình cho Firefox.

Cảnh báo:

Tiến hành tại eigene rủi ro vì chỉnh sửa cài đặt bảo mật trình duyệt có thể lộ hệ thống, dữ liệu, mạng ra mối đe dọa.

1. Khởi chạy Firefox và nhập sau đây vào thanh địa chỉ:

   about:config

2. Bây giờ nhấp Accept the Risk and Continue (Chấp nhận rủi ro và tiếp tục).
3. Sau đó, nhập sau đây trong Search Preference Name:

   tls.enable_0rtt_data

4. Bây giờ nhấp nút toggle (chuyển đổi) để đặt cài đặt trên thành False và khởi chạy lại Firefox để kiểm tra xem vấn đề thất bại bắt tay SSL có được giải quyết không.

Cài Đặt Lại Burp Suite

Nếu tổ chức bạn dùng Burp Suite để kiểm tra và phân tích an toàn ứng dụng web, cấu hình sai Burp Suite có thể dẫn đến cảnh báo thất bại bắt tay SSL. Trong trường hợp này, cài đặt lại Burp Suite có thể khắc phục.

1. Sao lưu tệp JAR của Burp file trước và Loader.
2. Bây giờ, nhấp chuột phải Windows và chọn Apps & Features.
3. Sau đó, mở rộng Burp Suite và nhấp Uninstall (Gỡ cài đặt).
4. Bây giờ xác nhận gỡ cài đặt Burp Suite và sau đó, khởi động lại hệ thống.
5. Sau khởi động, tải xuống và cài đặt phiên bản mới nhất Burp Suite. Trong quá trình, chắc chắn Burp Suite cài trên ổ hệ điều hành (ví dụ: C).
6. Bây giờ sao chép Burp file và loader đã sao lưu đến vị trí sau:

   C:\Burp_Suite\jre\bin

7. Sau đó, nhấp Windows, tìm Command Prompt, nhấp chuột phải kết quả, chọn Run as Administrator.
8. Bây giờ thực thi sau (chắc chắn thay X bằng giá trị gốc):

   C:\Burp_Suite\jre\bin\java.exe -javaagent:BurpSuiteLoader_v.XXX.jar -noverify -jar burpsuite_pro_vXXX.jar

9. Sau đó khởi chạy trình duyệt (như Firefox) và kiểm tra xem vấn đề bắt tay SSL có được giải quyết không.

Sử Dụng Chứng Chỉ Trong Thư Mục Program Files Cho Gemalto/Thales DIS CMS

Nếu tổ chức dùng ứng dụng/CMS Gemalto (nay gọi là Thales DIS), dùng chứng chỉ từ Program Files, không phải Program Files (X86) có thể khắc phục vì trình duyệt 64-bit tìm chứng chỉ trong thư mục 64-bit Program Files. Để minh họa, chúng ta sẽ thảo luận quy trình cho Firefox.

1. Khởi chạy trình duyệt Firefox và mở menu.
2. Bây giờ chọn Settings và điều hướng đến tab Privacy & Security.
3. Sau đó cuộn xuống và nhấp nút Security Devices (Thiết bị bảo mật) (trong phần Certificates).
4. Bây giờ nhấp Load (Tải) và trong Module Name, gõ:

   Gemalto PKCS#11 Module

   
5. Sau đó nhấp Browse (Duyệt) và điều hướng đến đường dẫn sau để chọn gclib.dll:

   C:\Program Files\Gemalto\Classic Client\BIN\gclib.dll

   
6. Bây giờ nhấp Open (Mở) và sau đó, nhấp OK.
7. Sau đó khởi chạy lại Firefox và kiểm tra xem vấn đề bắt tay SSL có được khắc phục không.

Thêm Ngoại Lệ Cho Trang Web Trong Bảo Mật Java

Nếu trang web yêu cầu Java trên máy khách nhưng Java "nghĩ" trang web không an toàn, nó có thể dẫn đến lỗi bắt tay SSL của trình duyệt. Ở đây, thêm ngoại lệ cho trang web trong bảo mật Java có thể khắc phục.

1. Nhấp Windows, gõ, và mở Configure Java.
2. Bây giờ, đi đến tab Security (Bảo mật) và nhấp Edit Site List (Chỉnh sửa danh sách trang).
3. Sau đó nhấp Add (Thêm) và nhập URL của trang web gây vấn đề.
4. Bây giờ nhấp OK và sau đó, khởi động lại hệ thống.
5. Sau khởi động, kiểm tra xem lỗi SSL có được khắc phục không.

Vô Hiệu Hóa Hoặc Gỡ Cài Đặt Antivirus/Tường Lửa Hệ Thống

Trình duyệt có thể hiển thị cảnh báo thất bại bắt tay SSL nếu antivirus hệ thống thay đổi dữ liệu trang web theo cách trình duyệt không "nghĩ" an toàn. Trong trường hợp này, vô hiệu hóa antivirus/tường lửa hệ thống có thể xóa lỗi bắt tay SSL. Kaspersky được báo cáo gây ra vấn đề.

Cảnh báo:

Tiến hành tại eigene rủi ro vì vô hiệu hóa hoặc gỡ cài đặt antivirus hoặc tường lửa hệ thống, có thể lộ dữ liệu, hệ thống, mạng ra mối đe dọa.

Vô Hiệu Hóa Antivirus/Tường Lửa Hệ Thống

1. Nhấp chuột phải vào sản phẩm bảo mật (ví dụ: ESET) trong khay hệ thống (có thể phải hiện biểu tượng ẩn) và chọn Pause Protection (Tạm dừng bảo vệ).
2. Bây giờ xác nhận vô hiệu hóa ứng dụng bảo mật và lại, nhấp chuột phải vào sản phẩm bảo mật trong khay hệ thống.
3. Bây giờ chọn Pause Firewall (Tạm dừng tường lửa) và nếu được yêu cầu, xác nhận vô hiệu hóa ESET Firewall.
4. Sau đó kiểm tra xem trình duyệt có thể truy cập trang web không mà không kích hoạt lỗi bắt tay SSL.

Gỡ Cài Đặt Antivirus/Tường Lửa Thứ 3

Nếu vô hiệu hóa antivirus/tường lửa không hiệu quả, gỡ cài đặt antivirus/tường lửa có thể khắc phục.

1. Nhấp chuột phải Windows và chọn Apps & Features.
2. Bây giờ mở rộng ứng dụng bảo mật (như ESET) và nhấp Uninstall.
3. Sau đó xác nhận gỡ cài đặt ứng dụng bảo mật và sau đó, khởi động lại hệ thống.
4. Sau khởi động lại, kiểm tra xem lỗi bắt tay SSL có được khắc phục không.

Nếu tổ chức dùng bảng điều khiển tường lửa phần cứng, hãy chắc chắn cáp nối tường lửa phần cứng với hệ thống là cáp được khuyến nghị bởi OEM tường lửa vì cáp không tương thích có thể kích hoạt cảnh báo thất bại bắt tay SSL trong trình duyệt.

Thêm Lại Chứng Chỉ Gây Vấn Đề

Nếu trang web gây vấn đề yêu cầu chứng chỉ cài đặt trên hệ thống (cung cấp qua email hoặc tải từ nguồn trực tuyến) và chứng chỉ không được cài đặt đúng, cài đặt lại chứng chỉ có thể khắc phục. Trước hết, hãy chắc chắn tải xuống hoặc xuất chứng chỉ gây vấn đề.

1. Nhấp chuột phải Windows và chọn Run.
2. Bây giờ thực thi sau:

   certmgr.msc

   
3. Sau đó đi đến tab Personal>> Certificates và kiểm tra xem chứng chỉ gây vấn đề có ở đó không. Nếu nhà cấp yêu cầu chứng chỉ ở tab khác, hãy chắc chắn chứng chỉ ở tab liên quan.
4. Nếu chứng chỉ ở tab liên quan, nhấp đúp vào nó và kiểm tra thuộc tính/hiệu lực.
5. Nếu mọi thứ ổn, nhấp Windows, tìm, và mở Internet Options.
6. Bây giờ đi đến tab Content (Nội dung) trên Internet Option và nhấp Certificates.
7. Sau đó kiểm tra xem chứng chỉ từ trang web gây vấn đề có hiển thị trong tab liên quan (thường là Personal).
8. Bây giờ nhấp đúp vào chứng chỉ và kiểm tra thuộc tính/hiệu lực.
9. Sau đó chắc chắn chứng chỉ có khóa công khai hợp lệ liên kết. Bạn có thể tìm ở tab Details (Chi tiết) của thuộc tính chứng chỉ.
10. Bây giờ đi đến tab Advanced trên Internet Options và chắc chắn bật các mục TLS và bỏ chọn các hộp SSL.
11. Sau đó áp dụng thay đổi và khởi động lại trình duyệt để kiểm tra xem lỗi thất bại bắt tay có được khắc phục không.

Nếu chứng chỉ không hiển thị trong tab thích hợp của Certificate Manager hoặc không thể cài đặt lại, bạn có thể tham khảo trang Microsoft chính thức giải thích quy trình chi tiết.

Nhập Chứng Chỉ Vào Firefox

Nếu bạn gặp vấn đề với Firefox, hãy nhớ Firefox không dùng nhiều chứng chỉ trong trình quản lý chứng chỉ hệ điều hành và người dùng có thể phải nhập chứng chỉ vào Firefox.

1. Khởi chạy trình duyệt Firefox và mở menu.
2. Bây giờ chọn Settings và nhấp tab Privacy & Security (trong ngăn trái).
3. Sau đó cuộn xuống và nhấp View Certificates.
4. Bây giờ, trong tab Your Certificates (hoặc tab khuyến nghị bởi nhà cấp), nhấp Import (Nhập) và Browse (Duyệt) đến chứng chỉ.
5. Sau đó chọn chứng chỉ và áp dụng thay đổi.
6. Bây giờ khởi chạy lại Firefox và kiểm tra xem vấn đề bắt tay SSL có được khắc phục không.

Nếu vấn đề vẫn còn, bạn có thể liên hệ trang web gây vấn đề kiểm tra xem cài đặt bảo mật của họ có hoạt động đúng không. Nếu cơ sở hạ tầng tổ chức dùng phần cứng cũ, bạn có thể dùng hệ điều hành cũ (như XP) trong máy ảo (VM) để truy cập thiết bị gây vấn đề.

Hướng Dẫn Cho Vấn Đề Phía Máy Chủ (Server-Related Issues)

Vì thực tế không thể bao quát các nguyên nhân phía máy chủ (máy khác nhau, thiết bị khác, ứng dụng khác, v.v.) dẫn đến lỗi bắt tay, đây là một số hướng dẫn người dùng báo cáo để khắc phục lỗi bắt tay:

1. Kiểm tra xem xóa sau đây trong cấu hình máy chủ có khắc phục không:

   SSLVerifyClient require SSLVerifyDepth 10

2. Nếu dùng Apache, kiểm tra xem đặt SSLCACertificatePath thành ~~~~~~/ca/certs/ca.cert.pem và đổi SSLVerifyDepth 1 thành SSLVerifyDepth 10. Sau đó, đổi chứng chỉ máy khách sang PEM (từ PFX). Sau đó, kiểm tra xem vấn đề SSL có được giải quyết không.
3. Kiểm tra xem tạo lại chứng chỉ với UTF8Stringsfor (không phải PrintableStringsfor) có khắc phục vấn đề bắt tay không.
4. Nếu tổ chức dùng SAP Cloud Connector, thì thoát Cloud Connection, mở tệp props.ini, thêm dòng sau trong phần #jvm section và kiểm tra xem có khắc phục vấn đề SSL không:

   -Djdk.tls.server.protocols=TLSv1.2

5. Kiểm tra xem cấu hình máy chủ dùng two-way TLS (TLS hai chiều) có xóa lỗi bắt tay không.