SSL_do_handshake() failed (SSL: error:14094085:SSL routines:SSL3_READ_BYTES:ccs received early)

xueguang668

nginx version: nginx/1.9.15

我们线上有一个web服务,提供的是https接口供iphone的app使用,安卓用的是http接口.

看错误日志每天都会有几条这个错误

2016/12/08 09:34:29 [crit] 1243#0: *300838240 SSL_do_handshake() failed (SSL: error:14094085:SSL routines:SSL3_READ_BYTES:ccs received early) while SSL handshaking, client: 10.169.106.113, server: 0.0.0.0:443

2016/12/08 09:34:29 [crit] 1243#0: *300838248 SSL_do_handshake() failed (SSL: error:14094085:SSL routines:SSL3_READ_BYTES:ccs received early) while SSL handshaking, client: 10.169.106.113, server: 0.0.0.0:443

2016/12/08 09:34:29 [crit] 1243#0: *300838255 SSL_do_handshake() failed (SSL: error:14094085:SSL routines:SSL3_READ_BYTES:ccs received early) while SSL handshaking, client: 10.169.106.113, server: 0.0.0.0:443

我看证书配置的也是对的,手动拿iphone手机测试的时候点各个地方调用接口不报错,也不知道是什么情况会出现这种情况,有人遇到这种情况吗?

doujiang24

Hello

这是 google 的搜索结果，疑似 OpenSSL 的 bug？

https://www.google.com.hk/search?q=ccs+received+early&oq=ccs+received+early

那么，你用的 OpenSSL 是哪个版本呢？

你更新到 1.0.2j 试试？

在 2016年12月8日上午10:18，Leof <xuegu...@gmail.com>写道：

nginx version: nginx/1.9.15
我们线上有一个web服务,提供的是https接口供iphone的app使用,安卓用的是http接口.
看错误日志每天都会有几条这个错误
2016/12/08 09:34:29 [crit] 1243#0: *300838240 SSL_do_handshake() failed (SSL: error:14094085:SSL routines:SSL3_READ_BYTES:ccs received early) while SSL handshaking, client: 10.169.106.113, server: 0.0.0.0:443
2016/12/08 09:34:29 [crit] 1243#0: *300838248 SSL_do_handshake() failed (SSL: error:14094085:SSL routines:SSL3_READ_BYTES:ccs received early) while SSL handshaking, client: 10.169.106.113, server: 0.0.0.0:443
2016/12/08 09:34:29 [crit] 1243#0: *300838255 SSL_do_handshake() failed (SSL: error:14094085:SSL routines:SSL3_READ_BYTES:ccs received early) while SSL handshaking, client: 10.169.106.113, server: 0.0.0.0:443
我看证书配置的也是对的,手动拿iphone手机测试的时候点各个地方调用接口不报错,也不知道是什么情况会出现这种情况,有人遇到这种情况吗?

--

xueguang668

我的是1.0.1e-fips 我升级试试在观察几天试试

在 2016年12月8日星期四 UTC+8上午10:59:31，doujiang写道：

Hello

这是 google 的搜索结果，疑似 OpenSSL 的 bug？
https://www.google.com.hk/search?q=ccs+received+early&oq=ccs+received+early

那么，你用的 OpenSSL 是哪个版本呢？
你更新到 1.0.2j 试试？

在 2016年12月8日上午10:18，Leof <xuegu...@gmail.com>写道：
nginx version: nginx/1.9.15
我们线上有一个web服务,提供的是https接口供iphone的app使用,安卓用的是http接口.
看错误日志每天都会有几条这个错误
2016/12/08 09:34:29 [crit] 1243#0: *300838240 SSL_do_handshake() failed (SSL: error:14094085:SSL routines:SSL3_READ_BYTES:ccs received early) while SSL handshaking, client: 10.169.106.113, server: 0.0.0.0:443
2016/12/08 09:34:29 [crit] 1243#0: *300838248 SSL_do_handshake() failed (SSL: error:14094085:SSL routines:SSL3_READ_BYTES:ccs received early) while SSL handshaking, client: 10.169.106.113, server: 0.0.0.0:443
2016/12/08 09:34:29 [crit] 1243#0: *300838255 SSL_do_handshake() failed (SSL: error:14094085:SSL routines:SSL3_READ_BYTES:ccs received early) while SSL handshaking, client: 10.169.106.113, server: 0.0.0.0:443
我看证书配置的也是对的,手动拿iphone手机测试的时候点各个地方调用接口不报错,也不知道是什么情况会出现这种情况,有人遇到这种情况吗?

--

wanderpony

是 early css 攻击，
https://www.imperialviolet.org/2014/06/05/earlyccs.html
升级下 OpenSSL 版本吧

xueguang668

我把nginx重新编译了一遍这次用的是 openssl-1.0.2j,但是原来的openssl没有安装,只是编译了nginx,

还是会出现这个问题,需要把openssl也安装吗还是,这个版本还不行

在 2016年12月10日星期六 UTC+8上午8:03:11，Jianqiang Wang写道：

是 early css 攻击，
https://www.imperialviolet.org/2014/06/05/earlyccs.html
升级下 OpenSSL 版本吧

doujiang24

Hello

很可能你编译的 nginx 没有链接到 openssl-1.0.2j

如果可以的话，最好使用 OpenResty 官方的 rpm 包

如果一定要自己编译的话，看看官方打包的配置：

https://github.com/openresty/openresty-packaging/blob/master/rpm/SPECS/openresty.spec#L130

2016-12-13 12:47 GMT+08:00 Leof <xuegu...@gmail.com>:

我把nginx重新编译了一遍这次用的是 openssl-1.0.2j,但是原来的openssl没有安装,只是编译了nginx,
还是会出现这个问题,需要把openssl也安装吗还是,这个版本还不行

在 2016年12月10日星期六 UTC+8上午8:03:11，Jianqiang Wang写道：
是 early css 攻击，
https://www.imperialviolet.org/2014/06/05/earlyccs.html
升级下 OpenSSL 版本吧

--

xueguang668

openssl version

OpenSSL 1.0.2j 26 Sep 2016

然后编译了nginx

nginx version: nginx/1.10.2

built by gcc 4.4.7 20120313 (Red Hat 4.4.7-17) (GCC)

built with OpenSSL 1.0.2j 26 Sep 2016

TLS SNI support enabled

configure arguments: --prefix=/usr/local/nginx --error-log-path=/data/nginx/logs/error.log --pid-path=/var/run/nginx.pid --lock-path=/var/lock/nginx.lock --http-log-path=/data/nginx/logs/access.log --http-client-body-temp-path=/data/nginx/client_body_temp --http-proxy-temp-path=/data/nginx/proxy_temp --http-fastcgi-temp-path=/data/nginx/fastcgi_temp --http-uwsgi-temp-path=/data/nginx/uwsgi_temp --http-scgi-temp-path=/data/nginx/scgi_temp --with-http_ssl_module --with-http_v2_module --with-http_realip_module --with-http_addition_module --with-http_sub_module --with-http_dav_module --with-http_flv_module --with-http_mp4_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_auth_request_module --with-http_random_index_module --with-http_secure_link_module --with-http_degradation_module --with-http_slice_module --with-http_stub_status_module --with-stream --with-stream_ssl_module --with-google_perftools_module --with-openssl=/home/xxx/openssl-1.0.2j --with-debug --with-pcre=/home/xxx/pcre-8.39

观察了这么久没有再出现那个问题了，谢谢各位

在 2016年12月13日星期二 UTC+8下午2:46:52，doujiang写道：

Hello

很可能你编译的 nginx 没有链接到 openssl-1.0.2j
如果可以的话，最好使用 OpenResty 官方的 rpm 包

如果一定要自己编译的话，看看官方打包的配置：
https://github.com/openresty/openresty-packaging/blob/master/rpm/SPECS/openresty.spec#L130

2016-12-13 12:47 GMT+08:00 Leof <xuegu...@gmail.com>:
我把nginx重新编译了一遍这次用的是 openssl-1.0.2j,但是原来的openssl没有安装,只是编译了nginx,
还是会出现这个问题,需要把openssl也安装吗还是,这个版本还不行

在 2016年12月10日星期六 UTC+8上午8:03:11，Jianqiang Wang写道：
是 early css 攻击，
https://www.imperialviolet.org/2014/06/05/earlyccs.html
升级下 OpenSSL 版本吧

--