Firefox отказывается от connecto pbs.twimg.com и других крупных сайтов

Question

Внезапно Firefox (62.0.3) не может загрузить CSS и другой контент с сайтов, связанных с Twitter. Например, подключаясь к Твиттеру с открытой панелью "Сеть", я вижу, что не удается получить контент из:

• https://abs.twimg.com
• https://pbs.twimg.com

Twitter использует эти домены для размещения контента, такого как изображения, таблицы стилей CSS, Javascript и т.д.

Если я попытаюсь подключиться к одному из этих URL-адресов напрямую, Firefox скажет мне:

Произошла ошибка при подключении к abs.twimg.com.

• Невозможно отобразить страницу, которую вы пытаетесь просмотреть, потому что подлинность полученных данных не может быть проверена.
• Пожалуйста, свяжитесь с владельцами сайта, чтобы сообщить им об этой проблеме.

Я не уверен, что именно это сообщение об ошибке пытается мне сказать.

Answer 1

Я смог решить эту проблему, изменив security.tls.version.max в about:config. Он показал значение по умолчанию 4, что позволяет TLS версии 1.3. Установка его в 3 (TLS 1.2) решила проблему для меня. Чтобы быть в безопасности, я также изменил security.tls.version.fallback-limit на 3.

Согласно примечаниям к выпуску, значение по умолчанию для этого параметра было изменено полностью в Firefox 60. Но я определенно только недавно начал замечать это поведение.

Answer 2

Эти веб-серверы не делают TLSv1.3 правильно.

HTTP/2 предъявляет довольно жесткие требования в отношении надежности шифра основного сеанса TLS, и предполагается, что веб-серверы обеспечивают определенный уровень безопасности.

Похоже, что некоторые веб-серверы (в частности, Verizon Edgecast/VDMS CDN) реализовали его в виде белого списка кодовых точек шифров или чего-то подобного, но поскольку TLSv1.3 полностью переделал согласование протоколов, даже самые сильные шифры больше не используются. сопоставьте белый список, потому что они согласованы с использованием разных кодовых точек. В результате сервер выдает код ошибки "недостаточная безопасность".

$ nghttp -vn <url>
...
[  0.153] recv GOAWAY frame <length=26, flags=0x00, stream_id=0>
          (last_stream_id=0, error_code=INADEQUATE_SECURITY(0x0c), opaque_data(18)=[cipher is banned! ])

Тем не менее, кажется, что Twitter просто отключил TLSv1.3 прямо в середине написания этого поста. Другие сайты, вероятно, исправят это в ближайшее время.

В настоящее время вы можете также ограничить Firefox до TLSv1.2 через about:config.

Ссылки по теме:

• https://bugzilla.mozilla.org/show_bug.cgi?id=1488240#c39 - подтверждение
• https://bugzilla.mozilla.org/show_bug.cgi?id=1488240#c58 - регистрация сотрудников VDMS