ERR_HTTP2_INADEQUATE_TRANSPORT_SECURITY

• TLS 1.1 или ниже используется с HTTP/2
• AES-CBC ciphers (не AEAD) — запрещены для HTTP/2
• No ECDHE ciphers — только RSA key exchange
• Blocked cipher list RFC 7540 (long list)
• nginx старее 1.13 с legacy cipher defaults

1. nginx modern: ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
2. TLS 1.3 cipher suites автоматически HTTP/2-compliant
3. ssl_prefer_server_ciphers on; + modern config
4. Enterno SSL Checker покажет cipher list
5. Или временно disable HTTP/2: listen 443 ssl; без http2

Проверить SSL-сертификат →

• ERR_SSL_PROTOCOL_ERROR
• NET::ERR_CERT_AUTHORITY_INVALID
• SSL Handshake Failed
• Все SSL-ошибки

Ошибка ERR_HTTP2_INADEQUATE_TRANSPORT_SECURITY возникает, когда сервер использует протокол HTTP/2 с недостаточной безопасностью TLS. Это может произойти, если сервер настроен на использование устаревших версий TLS (например, TLS 1.0 или 1.1) или слабых шифров, которые не соответствуют современным стандартам безопасности. Чтобы устранить эту ошибку, необходимо обновить настройки безопасности сервера и использовать только современные версии TLS (минимум TLS 1.2) с надежными шифрами.

Использование устаревших версий TLS и слабых шифров может привести к уязвимостям, которые могут быть использованы злоумышленниками. Для обеспечения надежной защиты данных следует следовать рекомендациям по настройке TLS, которые включают:

• Использование TLS 1.2 или выше.
• Отключение устаревших шифров, таких как RC4, 3DES и другие.
• Настройка сервера для поддержки современных шифров, таких как AES-GCM и ChaCha20.

Для проверки текущих настроек можно использовать команду openssl s_client -connect example.com:443 -tls1_2, которая поможет определить, поддерживает ли сервер TLS 1.2 и какие шифры доступны.

Рассмотрим пример настройки безопасного TLS на веб-сервере Apache. Для этого откройте файл конфигурации вашего сервера (обычно это /etc/httpd/conf.d/ssl.conf или /etc/apache2/sites-available/default-ssl.conf) и добавьте или измените следующие строки:

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite HIGH:!aNULL:!MD5:!3DES
SSLHonorCipherOrder on

Эти настройки отключают устаревшие версии TLS и задают порядок шифров, которые будут использоваться при соединении. После внесения изменений не забудьте перезапустить сервер с помощью команды sudo systemctl restart apache2 (или sudo systemctl restart httpd для CentOS). Проверьте, что ошибка ERR_HTTP2_INADEQUATE_TRANSPORT_SECURITY больше не возникает, используя инструменты для тестирования безопасности, такие как SSL Labs.

Код ошибки ERR_HTTP2_INADEQUATE_TRANSPORT_SECURITY указывает на то, что сервер использует протокол HTTP/2 с недостаточно безопасным TLS, что делает соединение уязвимым. Для решения данной проблемы необходимо настроить сервер на использование TLS версии 1.2 или выше, а также обеспечить поддержку современных шифров, таких как AES-GCM и ChaCha20.

Для обеспечения безопасности соединений HTTP/2 необходимо правильно настроить TLS на сервере. Ниже представлен пример конфигурации для веб-сервера Nginx, который поддерживает безопасные шифры и современную версию TLS.

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20';
    ssl_prefer_server_ciphers on;

    # Дополнительные настройки безопасности
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";
    add_header X-Content-Type-Options nosniff;
    add_header X-Frame-Options DENY;
    add_header X-XSS-Protection "1; mode=block";

    location / {
        root /var/www/html;
        index index.html index.htm;
    }
}

В данной конфигурации указываются только современные протоколы и шифры, что позволяет избежать проблем с недостаточной безопасностью соединения. Также включены заголовки безопасности, которые помогают защитить сайт от различных атак.

Важно отметить, что использование TLS версии 1.3 обеспечивает улучшенные характеристики производительности и безопасности по сравнению с предыдущими версиями. Убедитесь, что ваш сервер поддерживает эту версию протокола и соответствующие шифры.

После внесения изменений в конфигурацию рекомендуется протестировать сервер на наличие уязвимостей с помощью инструментов, таких как SSL Labs, чтобы убедиться, что он соответствует современным стандартам безопасности. Если тестирование покажет наличие проблем, необходимо дополнительно оптимизировать конфигурацию шифров и протоколов.