SSL_ERROR_NO_CYPHER_OVERLAP в Firefox

• Сервер поддерживает только 3DES / RC4 (Firefox удалил в 2020)
• Сервер только AES-CBC, Firefox предпочитает AES-GCM
• На сервере выключены cipher suites для ECDHE (PFS)
• Custom OpenSSL config запретил modern ciphers
• TLS 1.3 не настроен, TLS 1.2 cipher list слишком узкий

1. nginx modern config: ssl_ciphers TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
2. Apache: SSLCipherSuite HIGH:!aNULL:!MD5:!3DES:!RC4
3. Включите TLS 1.3 (ssl_protocols TLSv1.2 TLSv1.3)
4. Mozilla SSL Config Generator: ssl-config.mozilla.org
5. Проверьте через Enterno SSL — покажет supported ciphers

Проверить SSL-сертификат →

• NET::ERR_CERT_AUTHORITY_INVALID
• ERR_SSL_PROTOCOL_ERROR
• SSL Handshake Failed
• Все SSL-ошибки

Ошибка SSL_ERROR_NO_CYPHER_OVERLAP в браузере Firefox возникает, когда сервер и клиент не могут согласовать общий шифр для установления защищенного соединения. Это может быть связано с устаревшими или небезопасными алгоритмами шифрования, которые не поддерживаются современными браузерами. Чтобы исправить эту проблему, убедитесь, что на сервере настроены актуальные и безопасные шифры, и что они соответствуют требованиям современных стандартов безопасности.

Ошибка SSL_ERROR_NO_CYPHER_OVERLAP может возникать по нескольким причинам:

• Устаревшие шифры: Сервер может использовать устаревшие алгоритмы шифрования, такие как RC4 или 3DES, которые были признаны небезопасными.
• Некорректные настройки сервера: Неправильная конфигурация SSL/TLS на сервере может привести к отсутствию подходящих шифров.
• Ограничения браузера: Современные браузеры, включая Firefox, могут блокировать устаревшие шифры, что приводит к невозможности установления соединения.

Чтобы устранить данную ошибку, выполните следующие шаги:

1. Проверьте конфигурацию сервера: Используйте команду openssl s_client -connect : для проверки доступных шифров.
2. Обновите конфигурацию шифров: В файле конфигурации вашего веб-сервера (например, nginx.conf или httpd.conf) добавьте или измените строку, определяющую поддерживаемые шифры. Например, для Nginx можно использовать:

ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384';

Эта строка определяет использование современных шифров, которые поддерживаются большинством браузеров.

1. Перезапустите сервер: После внесения изменений обязательно перезапустите ваш веб-сервер, чтобы изменения вступили в силу.
2. Проверьте настройки безопасности: Убедитесь, что ваш сервер поддерживает протоколы TLS 1.2 и TLS 1.3, так как многие старые протоколы уже не являются безопасными.

Для диагностики проблемы с ошибкой SSL_ERROR_NO_CYPHER_OVERLAP можно использовать различные инструменты и команды. Например, с помощью openssl вы можете проверить доступные шифры на вашем сервере:

openssl s_client -connect example.com:443

Если вы видите сообщение о том, что не удалось установить соединение, это может указывать на отсутствие поддерживаемых шифров. Для дальнейшего анализа можно использовать Qualys SSL Labs для проверки SSL-конфигурации вашего сайта. Этот инструмент предоставит детализированный отчет о поддерживаемых шифрах и протоколах.

Допустим, ваш сервер использует Apache. В файле конфигурации httpd.conf вы можете добавить следующее:

SSLProtocol all -SSLv2 -SSLv3

Это отключит устаревшие протоколы SSLv2 и SSLv3, оставив только современные версии TLS. Также настройте шифры:

SSLCipherSuite HIGH:!aNULL:!MD5

Эти команды обеспечат использование только безопасных шифров. После внесения изменений не забудьте перезапустить Apache:

sudo systemctl restart apache2

После выполнения всех шагов проверьте ваш сайт снова, используя openssl или Qualys SSL Labs, чтобы убедиться, что ошибка устранена и соединение теперь устанавливается корректно.