Onderwerp: Problemen met SSL Certificaat onder bepaalde versies van Internet Explorer

Hallo Forumbezoekers,

Op dit moment ben ik de ontwikkeling van een intranetomgeving aan het afronden. Nu loop ik tegen een probleem aan met het SSL certificaat.

Het intranet is ondergebracht bij FlexWebHosting, op een shared hosting (om mee te beginnen). Ik heb het volgende certificaat aangevraagd "https://www.flexwebhosting.nl/ssl-certificaten/geotrust-rapid-ssl.html".

Tijdens het invoeren krijg ik van enkele testgebruikers de mededeling dat zij een beveiligingsmelding krijgen. Het blijkt dat alleen bij medewerkers die Internet Explorer 8 of lager gebruiker, deze mededeling voorkomt (dit is het gros van onze medewerkers i.v.m. een verouderde windowsversie, zowel op kantoor als thuis).

Ik heb contact met FlexWebHosting opgenomen. Zij zeggen dat ze ons niet verder kunnen helpen.

Heeft iemand van jullie een idee als zij gelijk hebben of als er toch iets aan te doen is? Het vreemde is dat andere websites met certificaten wel gewoon werken.

Alvast bedankt.

Het kan zijn dat de betreffende website geen eigen IP adres heeft, waardoor meerdere ssl certificaten aangeboden worden op één IP adres. Alle IE versies onder Windows XP kunnen hier bijvoorbeeld niet mee omgaan.

Een oplossing aan client kant kan zijn om bevoorbeeld Firefox of Chrome te gebruiken.

Ik vermoed in ieder geval dat dit het probleem is, om er zeker van te zijn kan je de url hier posten of achter de exacte foutmelding komen.

Je kan ook altijd weer contact opnemen om te verifieren of zij inderdaad SNI gebruiken (meerdere SSL-certificaten op één IP-adres). Mocht dat zo zijn, dan weet je dat daar het probleem zit.
Kan je ook vragen of ze je wel een eigen IP-adres kunnen aanbieden/

Bedankt voor jullie reacties.

Ik ga contact opnemen met de leverancier om dit te verifiëren.

Ik laat jullie het antwoord weten.

Er wordt inderdaad gebruik gemaakt van SNI en herkennen dit probleem.
Ze kunnen een eigen IP-adres aanbieden voor €30,00 per jaar excl. btw.

Oorspronkelijk geplaatst door kooistragfakkel

Er wordt inderdaad gebruik gemaakt van SNI en herkennen dit probleem.
Ze kunnen een eigen IP-adres aanbieden voor €30,00 per jaar excl. btw.

Dat is een marktconforme prijs moet ik zeggen en zal in jouw geval ook goedkoper zijn dan alles te gaan upgraden naar windows 8 (tenzij je dit al van plan natuurlijk)

Prima oplossing inderdaad.

Even wat achtergrondinformatie hierover:
Het gaat om, wat al werd genoemd, SNI (Server Name Indication).
Bij moderne browsers is dit geen probleem.
Maar iets oudere browsers wel:
- Alle Internet Explorer ouder dan versie 7
- Alle Internet Explorers op WindowsXP (!)
- Android t/m versie 2
- Sommige spiders (bv op basis van oude wget of curl) werken niet goed

Het lijkt wel mee te vallen. Maar Windows XP heeft nog een serieus marktaandeel.
Eigenlijk adviseer ik altijd om ook een dedicated IP te nemen bij een SSL.

Er zijn twee wegen omheen:
- Gebruik een multidomain certificaat als shared SSL, geldig voor alle sites op het IP
- Ik heb bij GlobalSign een oplossing gezien voor het probleem: https://www.globalsign.com/cloud/mul...p-address.html
(we gaan binnenkort de GlobalSign-oplossing implementeren overigens)

De mainstream support van Windows XP is al afgelopen sinds 14 april 2009. Dat wil zeggen dat belangrijke nieuwe features - waaronder SNI - niet toegevoegd worden. Enkel gaten in de beveiliging worden nog gedicht. Dat overigens tot 8 april 2014 a.s. Dus ook wanneer je een eigen IP-adres gaat afnemen, zal je de Windows versies nog moeten upgraden voor die datum. Daarna is het gebruik van Internet Explorer al helemaal uit den boze.

@PimEffting,

Globalsign heeft nette presentatie gehad op WHD in Duitsland over hun eigen product, waarbij ze ook aangekaart hebben in welke situaties SNI niet werk (behalve hun eigen product uiteraard )

- IE ouder dan 7;
- Alle IE in Windows XP, echter elke andere browser in Windows XP werkt weer wel;
- alleen af fabriek ingebouwde browser in Android t/m versie 2 (dus weer, chrome of opera met Android t/m versie 2 werkt);
- Blackberry default browser;

Al met al, volgens hun statistieke was het een kleine 4% van de internet gebruikers wereldwijd in deze combinaties volgens de statistieken. Dus het valt wel reuze mee.
Daarbij RIPE verstrekt bijna geen IPv4 meer aan de hosters dus IP schaarse is zo beetje langzamerhand begonnen. En SNI is een van de manieren om je IP voorraad nog enigszins te strekken dus kan me goed voorstellen dat hosters dit als voorkeur hebben. En je kan uiteraard altijd voor losse IP bij betalen.

Inderdaad het gaat om:

- IE6 (elk platform)
- elke IE op XP
- Safari op XP
- Blackberry browser
- Windows Mobile <= 6.5
- Android standaard browser op android 2.x
- wget < 1.14

Dat is afhankelijk van de doelgroep van je klanten toch nog een doelgroep die soms tot 7% van bezoekers kan uitmaken.

Die GlobalSign oplossing werkt trouwens heel mooi, zijn wij nu al even mee aan het testen, en is "live" sinds vorige week.

Iemand al ervaring met globalsign?

Je bedoelt met de CloudSSL oplossing. Ja, wij gebruiken die nu sinds een maand ongeveer, en het loopt als een trein. We zijn wel duidelijk een van de eerste klanten hierop, want de documentatie is (nog) niet altijd even correct Maar het is een heel mooie oplossing die goed werkt, zowel op nieuwe browsers (waar je gewoon SNI doet) als op oudere, zonder dat je veel IP adressen verliest.