해당 서버의 서비스 팩 버전 확인이 필요합니다. 사용하시는 서버가 Windows Server 2008 R2 서비스팩2 이하라면, 

1)     서비스팩3로 서버 업그레이드를 진행하셔야 합니다.

2)     업그레이드 후 윈도우 업데이트가 필요합니다. (URL 참고)
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4019276

3)     유서트 기술지원센터 TLS 프로토콜 가이드를 보시고 TLS 설정을 진행해주세요
프로토콜 설정 가이드 : https://www.ucert.co.kr/board/list/guide/Protocol

01 ERR_SSL_VERSION_OR_CIPHER_MISMATCH_TLS 이란?

클라이언트가 브라우저에서 https 접속 시 브라우저에서 아래와 같은 오류가 발생하는 이슈로

해당 문구는 Chrome에서 발생하는 메시지이고, 브라우저 별로 메시지가 상이함

[Internet Explorer]

이 페이지를 표시할 수 없습니다.

[고급] 설정에서 TLS 1.0 TLS 1.1 및 TLS 1.2를 켠 다음 해당 홈페이지에 다시 연결해 보세요.

안전하지 않은 RC4와 같은 암호 그룹을 사용할 수도 있습니다.

[Chrome]

“사이트에 보안 연결할 수 없음”

해당 홈페이지에서 지원되지 않는 프로토콜을 사용합니다

ERR_SSL_VERSION_OR_CIPHER_MISMATCH

[firefox]

“보안 연결 실패”

해당 홈페이지에 접속하는 중에 오류가 발생했습니다.

SSL_ERROR_NO_CYPHER_OVERLAP

02 ERR_SSL_VERSION_OR_CIPHER_MISMATCH 오류 발생 원인

서버에서 낮은 알고리즘만을 이용한 통신 환경 제공 시

클라이언트 측에서 낮은 브라우저 환경으로 인해, 낮은 알고리즘을 통한 통신 환경을 시도할 경우

           - 낮은 브라우저 : Chrome 48 이하, Internet Explorer 11 이하, Microsoft Edge 이하, Firefox 44 이하 ( 정책 적용 버전은 공지 내용과 다를 수도 있음 )

           - 낮은 알고리즘 : RC4를 포함한 알고리즘 ( 예: RC4-SHA, RC4-MD5, ECDH-RSA-RC4-SHA 등 )

03 RC4 알고리즘의 취약성

 03.1 RC4 암호란?

       - 1987년 Ron Rivest가 설계한 스트림 암호로 1995년부터 SSL의 표준 암호화 프로토콜

       - 2011년 BEAST(Browser Exploit Against SSL/TLS) 공격에 취약점 발견

       - 2014년 POODLE 공격에 취약점 발견

 03.2 BEAST 공격이란?

           - 사용자 브라우저 취약점을 이용하여 중간에서 HTTPS 쿠키를 훔쳐 공격하는 기법

 03.3 POODLE 공격이란?

           - TLS 연결을 SSL 3.0으로 낮춰 SSL 3.0 취약점을 이용하여 암호문 해독하는 공격 기법

  03.4 현재 RC4 알고리즘 규제 현황

           - Google, Mozilla, Microsoft 등 2016년 초부터 브라우저의 RC4 지원 중단 선언

           - 금융보안원 RC4 규제 가이드 발표 ( 하단 출처 참조 )

04 ERR_SSL_VERSION_OR_CIPHER_MISMATCH 오류 해결 방안

 → 서버에서 RC4 알고리즘 비활성화

[IIS]

RC4알고리즘 000000000으로 Enabled

[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Ciphers \ RC4 128/128]

“Enabled”= dword : 00000000

[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Ciphers \ RC4 40/128]

“Enabled”= dword : 00000000

[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Ciphers \ RC4 56/128]

“Enabled”= dword : 00000000

[Apache]

RC4 알고리즘 전체 사용 안함

SSLProtocol ALL –SSLv2 –SSLv3 –TLSv1

SSLCipherSuite HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4:!SSLv2:!SSLv3

[Tomcat]

ciphers="ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384"

        disableSessionTickets="true"

        honorCipherOrder="false"

        protocols="TLSv1.2, TLSv1.3">

[client PC]

사용자의 브라우저에서 높은 수준의 알고리즘으로 접속하도록 설정

인터넷 옵션-고급- SSL 3.0, TLS 1.0 사용 제한하고, TLS 1.1, TLS 1.2를 사용하도록 체크 설정 후 확인

05 사이트 확인

https://ssllabs.com 홈페이지에서 도메인 입력 후 프로토콜 사용 여부 확인 가능

참고 URL : https://blog.naver.com/ucert/221956614604

SNI 는 Server Name Indication(서버 이름 표시)의 줄임말로 하나의 포트에 2개 이상의 인증서 설정이 가능하게 해주는 것입니다.

아파치의 경우, 아래 조건이 충족해야 하니, 참고 부탁드립니다.

Web Server : 2.2.12 이상

OpneSSL : openssl 0.9.8f