s_client conexão com o servidor falha com o código de erro ssl 47

Question

Após uma atualização recente para o openssl-1.1.0c, não consigo mais me conectar ao servidor IMAP no trabalho. Conectar-se a outros servidores IMAP (por exemplo, imap.gmx.de:993) funciona sem problemas, usando exatamente o mesmo comando.

Ao tentar se conectar ao servidor usando

openssl s_client -connect mbox.uni-stuttgart.de:993

Estou recebendo o seguinte erro:

CONNECTED(00000003)
140093138867328:error:14094417:SSL routines:ssl3_read_bytes:sslv3 alert illegal parameter:ssl/record/rec_layer_s3.c:1388:SSL alert number 47

O servidor está executando o CommuniGate Pro Suite.

Veja o que testei até agora:

• A conexão de outra máquina com o OpenSSL 1.0.1t funciona sem falhas.
• Conectar-se a outros serviços seguros na mesma máquina de destino que oferece SSLv3 (não relacionado a e-mail: servidor Apache) funciona sem falhas.

Qualquer pista sobre por que a conexão com os serviços relacionados a e-mail leva ao erro mencionado acima seria muito apreciada!

    

Answer 1

O servidor suporta apenas DES-CBC3-SHA, RC4-SHA e RC4-MD5 como cifras. Essas cifras não são mais consideradas seguras e, portanto, não estão contidas no conjunto de cifras padrão no OpenSSL 1.1.0. Do changelog de 1.1.0:

... To mitigate the SWEET32 attack (CVE-2016-2183), 3DES cipher suites have been disabled by default and removed from DEFAULT
... RC4 based libssl ciphersuites are now classed as "weak" ciphers and are disabled by default.

Você ainda deve conseguir se conectar ao servidor permitindo explicitamente essas cifras, ou seja,

 openssl s_client -cipher 'RC4-SHA' ...