Verbindungsproblem: Apache 2.4 + TLS 1.2 + IE11

[KeepXtreme]

[SOLVED] Verbindungsproblem: Apache 2.4 + TLS 1.2 + IE11

Abend zusammen,

ich hab bei unserer Vereins-HP + den internen Webseiten ein Problem: Die Seite (bzw. keine) lädt mehr im IE11

Doch von Anfang an:
-Umgebung: Apache 2.4 NUR mit TLS1.2 und ECDHE (genaueres siehe SLL Labs Test)
-alle Browser (FF,Chrome, Opera, Safari) außer IE11 gehen
-IE11 ging unter Win8 früher sowohl in Desktop-Mode als auch als Metro-APP
-keine Konfigurationsänderungen an Apache, allerdings Updates
-erst ging die Metro-APP nicht mehr, allerdings wegen authentifizierung (Require ip / host [subnet/fqhn] wurden igoniert, ABER NUR von der Metro-App)
-irgendwann (ich glaube nach einem Minor-Update von Apache 2.4) ging dann plötzlich auch der IE11 komplett nicht mehr, jetzt aber mit dieser Meldung: Die Seite kann nicht angezeigt werden.

Hat irgendwer die gleichen Erfahrungen gemacht oder hat eine Idee woran es liegt? Natürlich könnte ich TLS in niedrigeren Versionen oder andere Ciphersuites erlauben, aber erstmal würde mich interessieren, WIESO es nicht mehr geht...

edit:

SSLHonorCipherOrder on
SSLCipherSuite "ECDH+AESGCM DH+AESGCM ECDH+AES256 EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 DH+AES256:ECDH+AES128 DH+AES ECDH+3DES DH+3DES EECDH RSA+AESGCM RSA+AES RSA+3DES !3DES !AES128 !RC4 !aNULL !MD5 !DSS"
SSLProtocol TLSv1.2

edit://
falls hier noch jemand drauf stößt:

Das Problem ist, dass [Stand Sep. 2014] der Internet Explorer sowie alle Apple Produkte eine Verbindung verweigern, wenn das Zertifikat länger als 4096 Zeichen ist (bei uns war es ein 8k-Zertifikat)

 

[mensch183]

Natürlich könnte ich ... andere Ciphersuites erlauben, aber erstmal würde mich interessieren, WIESO es nicht mehr geht...

Da du nicht mitteilst, was du aktuell konfiguriert hast, wird dir niemand helfen können. Wenn kein SSLCipherSuite im Apache konfiguriert ist, greifen die Voreinstellungen von Openssl, die sich durch ein Update ggf. auch geändert haben können.

Wahrscheinlich können sich Client und Server nicht auf eine Ciphersuite einigen. Zum Debuggen evtl. "openssl s_server ..." als Server verwenden. Du brauchst jedenfalls was, um den TLS-Handshake näher beäugen zu können. Entweder auf einer Seite ein gesprächiges Programm einsetzen oder via Wireshark o.ä. nachsehen was auf dem Netz passiert.

/edit: https://wiki.apache.org/httpd/DebuggingSSLProblems

 

[KeepXtreme]

entschuldige, dachte, das nötige ergibt sich aus dem SSLabs Test - hab die ciphersuites mal ergänz oder welche Einstellungen benötigst du noch?

achja, TLS1-1.2 & mehr Ciphersuites brachten keine Besserung...

edit:// Netzwerk-Traffic mit Microsoft Network Monitor: Anhang anzeigen ie11.7z - ich sehe leider nicht, wo es scheitert, dazu fehlen mir dann doch die Kenntnisse, aber die Ciphersuites & TLS-Version sind es wohl nicht