Windows Server 2003 to 2008 sslstream 无通用算法答案

【问题标题】：Windows Server 2003 to 2008 sslstream No Common AlgorithmWindows Server 2003 to 2008 sslstream 无通用算法
【发布时间】：2010-11-30 15:35:50
【问题描述】：

我发现了我之前提出的问题的问题。

在 C# 中使用 SSLSTREAM 在 Windows Server 2003 和 2008 之间进行连接时，服务器似乎无法就通用算法达成一致。

我得到的确切 SSPI 异常是：

"The client and server cannot communicate, because they do not possess a common algorithm"

我尝试过使用 SSL2、SSL3、TLS1。我尝试使用默认，我尝试为服务器 2003 安装 AES SSL 修补程序。似乎无论我做什么，都没有通用算法..

有谁知道我该如何解决这个问题？

另外，当我在 Windows 7 上尝试相同的代码时，服务器/客户端同意： Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)

这取自wireshark。

Windows Server 2003 没有该密码，但它应该有一些兼容的密码，而无需启用此处列出的密码：

http://technet.microsoft.com/en-us/library/cc766285(WS.10).aspx

感谢您的帮助

【问题讨论】：

我尝试更改组策略项以允许来自 win2k3 的所有密码，但没有运气。
我不知道这是否能解决您的问题，但也许值得一试support.microsoft.com/kb/245030（如何限制在 Schannel.dll 中使用某些加密算法和协议）
那么，对于失败的案例，wireshark 向您展示了什么？服务器是否在其服务器 hello 中发送证书？

标签： c# windows ssl ssl-certificate

【解决方案1】：

我无法从您的问题中弄清楚哪一方是服务器，哪一方是客户端，也许这并不重要。虽然我对这些服务器不是很熟悉，但当服务器无法找到其 RSA 私钥时，我看到过类似的错误，这可能是由于配置错误或更常见的误解。服务器必须能够访问both私钥及其匹配的公钥（包含在其证书中），才能完成经过身份验证的连接。

【讨论】：

客户端：Win2k3 服务器：Wink2k8。我使用的证书是自签名的，我不是制作它的人。虽然它受密码保护（PK 嵌入？）我似乎终于通过使用 makecert 生成一组新证书来完成这项工作。我使用的证书是否可能阻止使用某些密码？
啊，可能也是这样。我还依稀记得有些产品可能会生成DSA证书和密钥，而不是RSA。这些也可能导致您看到的错误消息。如果我查看了 wireshark 捕获文件，我就知道了。
非常感谢您的帮助。我将尝试模拟之前发生的事情并发布结果。我注意到之前，我使用的是 CA 根证书。以前的证书也使用 md5/rsa 作为算法、哈希和指纹。当我创建新的时，我为它们使用 Sha1/RSA。
对于后代：我遇到了类似的问题，是的，如果您使用某些设置生成证书，Windows（至少是 server 2003）将不会使用某些密码。对我有用的设置：makecert -pe -r -ss my -sr localMachine -n "CN=[DOMAIN NAME OR IP ADDRESS]" -e 01/01/2098 -a sha1 -eku 1.3.6.1。 5.5.7.3.1 -sky exchange -sp "Microsoft RSA SChannel Cryptographic Provider" -sy 12（有关更多信息，请参阅我的问题stackoverflow.com/questions/17141156）

【解决方案2】：

服务器可能尝试使用 AES 密码协商 SSLv3.0 连接。这种组合在技术上是非法的。见http://blogs.msdn.com/b/ieinternals/archive/2009/12/08/aes-is-not-a-valid-cipher-for-sslv3.aspx?Redirected=true

【讨论】：