🚀 go-pugleaf

jedrek <j@j.j> napisał(a):
> Czy da się ożenić stunnel ze starym IE z win xp żeby wszystkie https
> pchał w  światp
> jako już TLS1.2?

Nie da się. Poza tym tu nie chodzi o TLS 1.2, bo IE go obsługuje, tylko o 
konkretne algorytmy wewnątrz TLS. O te algorytmy się sprawa rozbija, nie o 
protokół, to nie to samo.

> Czy raczej stunnel nie przewiduje w pliku konfiguracyjnym stunnel.conf
> uniwersalnej reguły, która by łączyła z dowolną stroną www, do której
> dobija się IE?

Nie. I jak on w ogóle miałby to robić? Odbierać połączenia od IE, 
rozszyfrowywać i potem ponownie szyfrować nowszym protokołem? Musiałby 
działać jako nietypowy serwer SOCKS lub transparent proxy.

> Czy raczej stunnel przewiduje, że będzie się łączył tylko ze ściśle
> zdefiniowaną
> jedną stroną ustawioną w pliku konfiguracyjnym programu stunnel?

Skądś musi wiedzieć dokąd się połączyć.

> W przykładach konfiguracji stunnel
> https://www.stunnel.org/config_windows.html
> widać taki zapis:
> ------------------------------------------------
> ; TLS front-end to a web server
> ;[https]
> ;accept  = 443
> ;connect = 80
> ;cert = stunnel.pem
> ; "TIMEOUTclose = 0" is a workaround for a design flaw in Microsoft
> SChannel ; Microsoft implementations do not use TLS close-notify alert
> and thus they ; are vulnerable to truncation attacks
> ;TIMEOUTclose = 0
> -----------------------------------------------
> Czyżby to było to?

Jak widzisz to jest front-end TLS do lokalnego serwera WWW nieobsługującego 
szyfrowania. Brak związku z tematem IE.

> Docelowo jest w planie aby IE zagadał jak
> kiedyś ze stroną MS windows update.

Po co? Ona jeszcze działa?

> Czy z innymi też będzie gadał, czy raczej
> do każdej strony https jaką byśmy chcieli odwiedzić przez IE (pomijając,
> że  IE nie obsluguje "nowoczesnych" skaczących dzikich węży i
> wodotrysków na  współczesnych ciężkich jak ołów stronach) to bym musiała
> być niepowtarzalna, indywidulna regułka tworzona?

Tak, indywidualna.

> W powyższym zapisie nie wiem
> czemu jest parametr
> connect = 80
> skoro wszystkie szyfrowane strony https łączą się na
> porcie 443 (?)Chyba, że znów o czymś nie wiem?

Bo to jest frontend do nieszyfrowanego lokalnego serwera. Sytuacja odwrotna 
od Twojej. Na port 443 mają się łączyć przeglądarki odwiedzających Twój 
serwer.

> Czyżby najpierw na starcie każda
> przeglądarka zestawiała połączenie na porcie 80 i za chwilę dopiero
> zaczyna  gadać już
> szyfrowanym połączeniem https na 443?

Wręcz przeciwnie. Obecnie jak wpiszesz adres bez podania protokołu 
(http/https), to połączenie leci na port 443. W IE to jeszcze jest port 80.

> Czy raczej przy takim ożenku stronę do IE klepie się jako nieszyfrowaną
> bez  https
> i stąd port przychodzący 80?

Nie załapałeś idei tego przykładu. Tu chodzi o sytuację gdy masz 
nieszyfrowany serwer na porcie 80 i chcesz wystawić go światu po TLS. Zostaw 
to. Nie wiem po co nadal się męczysz z tym stunnelem i XP kolejny rok. Temat 
wałkowaliśmy nie raz.

-- 
Grzegorz Niemirowski
https://www.grzegorz.net/