Поиск по сайту:

Ошибка SSL: этот сайт не может обеспечить безопасное соединение в Chrome, Opera и Chromium

По какой-то причине мне не удалось открыть некоторые HTTPS-сайты (не все!) на моем ноутбуке с Windows 10. При попытке открыть такой сайт в браузере выдает ошибку: «

This site can’t provide a secure connection

». Сайты не отображаются в браузерах Google Chrome, Opera и Chromium. Без HTTPS я могу открыть только некоторые из них, страницы которых доступны как по протоколу HTTPS, так и по протоколу HTTP. Если я попытаюсь открыть проблемный HTTPS-сайт в Google Chrome, ошибка будет выглядеть следующим образом:

This site can’t provide a secure connection.
sitename.com sent an invalid response.
ERR_SSL_PROTOCOL_ERROR

Или вот так:

This site can’t provide a secure connection.
sitename.com uses an unsupported protocol.
ERR_SSL_VERSION_OR_CIPHER_MISMATCH.
The client and server don’t support a common SSL protocol version or cipher suite. This is likely to be caused when the server needs RC4, which is no longer considered secure.

Или в Mozilla Firefox:

Secure Connection Failed

В браузерах на базе Opera и Chromium ошибка выглядит практически одинаково. Как я могу открыть эти HTTPS-сайты?

Отвечать

Как вы, возможно, поняли, проблема связана с проблемами SSL-соединения между вашим браузером и веб-сайтом с поддержкой HTTPS. Причины могут быть разными. В этой статье я постарался собрать все способы исправления ошибки»

This site can’t provide a secure connection, ERR_SSL_PROTOCOL_ERROR

» в популярных браузерах.

Хочу отметить, что несмотря на то, что браузеры на базе Google Chrome, Opera и Chromium выпускаются разными компаниями, они используют один и тот же движок WebKit (Chromium), а проблема открытия HTTPS-сайтов для всех решается одинаково.

Прежде всего убедитесь, что это не проблема самого HTTPS-сайта. Попробуйте открыть с других устройств (смартфон, планшет, домашний/рабочий компьютер и т. д.). Также проверьте, можете ли вы открыть проблемный сайт в других браузерах: IE/Edge или Mozilla Firefox.

Очистка кэша браузера, файлов cookie и сброс SSL-кеша

Кэш браузера и файлы cookie часто вызывают проблемы с сертификатом SSL. Мы рекомендуем сначала очистить кеш и файлы cookie в вашем браузере. В Chrome нажмите Ctrl + Shift + Delete (или перейдите по адресу

chrome://settings/clearBrowserData

), выберите временной диапазон (Все время) и нажмите Очистить данные.

Чтобы очистить кэш SSL в Windows 10 или 11:

  1. Откройте Панель управления -> Свойства обозревателя;

  2. Откройте вкладку Содержимое;

  3. Нажмите кнопку Очистить состояние SSL;

  4. Сообщение «

    The SSL cache was successfully cleared

    » появится;

  5. Перезапустите браузер и проверьте, сохраняется ли ошибка ERR_SSL_PROTOCOL_ERROR.

Отключить сторонние расширения браузера

Мы рекомендуем отключить (удалить) сторонние расширения браузера, особенно анонимайзеры, прокси, VPN, антивирусные расширения и другие подобные дополнения, которые могут мешать трафику на целевой сайт. Вы можете просмотреть список включенных расширений Chrome в Настройки -> Дополнительные инструменты -> Расширения или перейти в раздел

chrome://extensions/

. Отключите все подозрительные расширения.

Проверьте настройки антивируса и брандмауэра

Если на вашем компьютере установлен антивирус или брандмауэр (он часто встроен в антивирус в виде модуля), они могут блокировать доступ к веб-сайтам. Чтобы понять, блокирует ли ваш антивирус или брандмауэр доступ к сайту, попробуйте приостановить их работу на некоторое время.

Многие антивирусы имеют встроенный модуль проверки SSL/TLS-сертификатов веб-сайтов. Если антивирус обнаружит, что веб-сайт использует небезопасный (или самозаверяющий) сертификат или устаревшую версию протокола SSL (SSL 3.0 или TLS 1.0), антивирус может заблокировать доступ пользователя к такому сайту. Попробуйте отключить проверку HTTP/HTTPS-трафика и SSL-сертификатов. В разных антивирусах эта опция может называться по-разному. Например:

  • Отключите функцию «

    Enable SSL/TLS protocol filtering

    опция » в антивирусе ESET NOD32;

  • В Avast опция называется «

    Enable HTTPS scanning

    (он находится в разделе «Настройки» -> «Активная защита» -> «Веб-экран» -> «Настройка» -> «Основные настройки»);

  • Встроенный межсетевой экран (

    Spider Gate

    ) может блокировать сайты в антивирусе Dr.Web;

  • В антивирусе Kaspersky Internet Security перейдите в «Настройки» -> «Дополнительно» -> «Сеть» -> добавьте сайт в исключения или выберите параметр Не проверять зашифрованные соединения.

Проверьте настройки даты и времени

Неправильная дата, время (или часовой пояс) на вашем компьютере также может вызвать ошибки безопасного соединения для веб-сайтов HTTPS. Во время аутентификации ваша операционная система проверяет дату создания сертификата веб-сайта, срок его действия и срок действия сертификата удостоверяющего центра.

Убедитесь, что у вас установлено правильное время и часовой пояс. Если время сбрасывается постоянно, см. статью «Windows отображает неправильное время после перезагрузки».

Обновите корневые сертификаты Windows

Если ваш компьютер находится в изолированном сегменте сети, долгое время не обновлялся или у него отключено автоматическое обновление, возможно, у него нет новых доверенных корневых сертификатов (TrustedRootCA). Мы рекомендуем всегда устанавливать последние обновления безопасности в Windows.

Вы можете вручную обновить доверенные корневые сертификаты, следуя статье «Обновление списка доверенных корневых сертификатов в Windows». Также рекомендуется проверить ваш компьютер на наличие подозрительных или ненадежных сертификатов с помощью SigCheck. Это может помочь предотвратить перехват HTTPS-трафика и ряд других проблем.

Отключить поддержку протокола QUIC

Убедитесь, что в Chrome включена поддержка протокола QUIC (быстрое подключение к Интернету UDP). QUIC позволяет быстрее установить соединение и согласовывает все параметры TLS (HTTPS) при подключении к веб-сайту. Однако в некоторых случаях это может вызвать проблемы с SSL-соединениями. Попробуйте отключить QUIC:

  1. Перейти к

    chrome://flags/#enable-quic

    ;

  2. Найдите параметр Экспериментальный протокол QUIC;

  3. Измените его значение со «По умолчанию» на Отключено;

  4. Перезапустите Хром.

Проверьте протоколы TLS/SSL, поддерживаемые вашим браузером и веб-сервером.

Проверьте, какие версии протокола TLS/SSL и методы шифрования (наборы шифров) поддерживаются вашим браузером. Для этого просто зайдите на веб-страницу https://clienttest.ssllabs.com:8443/ssltest/viewMyClient.html.

Онлайн-сервис SSL Labs вернет список протоколов и наборов шифров, которые поддерживает ваш браузер. В моем примере Chrome поддерживает только TLS 1.3 и TLS 1.2. Все остальные протоколы (TLS 1.1, TLS 1.0, SSL3 и SSL 2) отключены. Ниже приведен список поддерживаемых методов шифрования.

Наборы шифров (в порядке предпочтения)

  • TLS_AES_128_GCM_SHA256

  • TLS_CHACHA20_POLY1305_SHA256

  • TLS_AES_256_GCM_SHA384

  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

  • TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256

  • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256

  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA

  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

  • TLS_RSA_WITH_AES_128_GCM_SHA256

  • TLS_RSA_WITH_AES_256_GCM_SHA384

  • TLS_RSA_WITH_AES_128_CBC_SHA

  • TLS_RSA_WITH_AES_256_CBC_SHA

Полный список наборов шифров, включенных в Windows, можно просмотреть с помощью PowerShell:

Get-TlsCipherSuite | Format-Table -Property CipherSuite, Name

Затем проверьте список протоколов TLS/SSL, поддерживаемых сайтом. Для этого воспользуйтесь онлайн-сервисом проверки SSL

https://www.ssllabs.com/ssltest/analyze.html?d=domain.com

(заменять

domain.com

с адресом сайта, который вы хотите проверить).

Проверьте, доступны ли в вашем браузере все версии TLS/SSL, поддерживаемые веб-сайтом.

В этом примере вы можете видеть, что сайт не поддерживает TLS 3.1, SSL 3.0 и SSL 2.0. Также сравните список Cipher Suite.

Если метод шифрования не поддерживается вашим браузером, возможно, вам придется включить его в Windows.

Если веб-сайт не поддерживает протоколы SSL, необходимые клиенту, вы увидите ошибку «

This site cannot provide a secure connection

» в браузере при подключении к веб-сайту с поддержкой HTTPS.

Включить поддержку устаревших протоколов TLS/SSL

И последнее — может случиться так, что для решения проблемы достаточно включить поддержку устаревших протоколов TLS и SSL. В большинстве случаев он наиболее эффективен, но я намеренно перенес этот пункт в конец статьи. Я объясню почему.

Устаревшие версии протоколов TLS и SSL отключены не только потому, что этого хотят разработчики. Это связано с большим количеством уязвимостей, которые позволяют хакерам перехватить ваши данные в HTTPS-трафике или даже изменить их. Бездумное включение этих устаревших протоколов влияет на вашу безопасность в Интернете, поэтому вам не следует использовать этот метод, если что-то еще не может помочь.

В современных браузерах и операционных системах устаревшие и уязвимые протоколы SSL/TLS отключены по умолчанию (SSL 2.0, SSL 3.0 и TLS 1.1). В настоящее время для SSL-соединений рекомендуется использовать только TLS 1.2 или TLS 1.3.

Если веб-сервер (сайт) использует более старую версию протокола SSL/TLS, чем поддерживается вашим клиентом (браузером), пользователь увидит ошибку при установке безопасного соединения.

ERR_SSL_VERSION_OR_CIPHER_MISMATCH

. Эта ошибка появляется, если клиент на этапе TLS Handshake обнаружил, что сайт использует протокол шифрования или длину ключа, не поддерживаемую вашим браузером. Выше мы показали, как определить набор протоколов и шифров, поддерживаемых сервером.

Чтобы разрешить использование устаревших версий протоколов SSL/TLS в Windows (еще раз обратите внимание, что это небезопасно!):

  1. Откройте Панель управления -> Свойства обозревателя;

  2. Перейдите на вкладку Дополнительно;

  3. Включите TLS 1.0, TLS 1.1 и TLS 1.2 (если не помогает, включите SSL 3.0, 2.0;

  4. Перезапустите браузер.

Если ни один из этих способов не помог избавиться от ошибки «Этот сайт не может обеспечить безопасное соединение», попробуйте следующее:

  • Убедитесь, что в файле нет статических записей

    C:\Windows\System32\drivers\etc\host

    Файл hosts можно использовать в Windows, помимо прочего, для блокировки доступа к доменам и веб-сайтам:

    Get-Content $env:SystemRoot\System32\Drivers\etc\hosts

    ;

  • Попробуйте использовать общедоступный DNS-сервер, например DNS-серверы Google. В настройках сетевого подключения укажите IP-адрес 8.8.8.8 в качестве предпочтительного адреса DNS-сервера;

  • В Панели управления -> Свойства обозревателя убедитесь, что уровень безопасности зоны Интернета равен Средний-высокий или Средний. Если выбрано значение Высокий, некоторые SSL-соединения могут быть заблокированы вашим браузером;

  • Возможно, проблема связана с сертификатом сайта. Проверьте это с помощью онлайн-проверки SSL;

  • Если ваш компьютер использует VPN или в настройках Windows настроен прокси-сервер, попробуйте отключить их;

  • Убедитесь, что TLS 1.3 включен в Chrome. Зайдите в раздел настроек (

    chrome://flags

    ) в адресной строке. Найдите параметр TLS 1.3. Убедитесь, что для него установлено значение Включено или По умолчанию. Если он отключен, включите его;

  • Если вы используете одну из устаревших версий ОС (Windows XP или Windows 7), установите браузер Mozilla Firefox вместо Chrome. В отличие от движков на базе Chromium, Firefox использует собственные модули реализации протоколов шифрования SSL/TLS, а не встроенные в Windows.

Статьи по данной тематике