Erro no Firefox SEC_ERROR_NO_MEMORY devido a HTTPS?

Question

desde alguns dias recebo o seguinte erro sempre que tento abrir uma página da Web HTTPS no Firefox 52.0.1 "Fehler: Gesicherte Verbindung fehlgeschlagen" ("erro: sucure connetcion failure" ou assim) e "Ocorreu um erro durante uma conexão para www.blah.com biblioteca de segurança: falha de alocação de memória Código de erro: SEC_ERROR_NO_MEMORY ". Eu estou em uma máquina rodando Leap 42.2 OpenSuse Linux.

Eu acho que esse erro ocorreu primeiro quando eu atualizei o firefox do 51.x.

Medidas tomadas até agora que não ajudaram:

• Voltando para a versão 51.X.
• Desinstalando e instalando as versões 52.0.1.
• Desinstalando todas as extensões no firefox.
• Alterar security.tls.version.min e security.tls.version.max em about: config
• Verificando todas as entradas que lidam com "https" em about: config e alternando alguns.
• excluindo arquivos cert8.db e secmod.db
• verifique se a biblioteca do glib-networking está instalada

No entanto, pode ser o sistema, não o navegador: o Chromium também impede a conexão com alguns poucos recursos https, mas não parece ser tão rígido quanto o firefox.

Quando o problema apareceu pela primeira vez eu joguei com gpg e KGpg, então isso pode ter causado o problema. Desativar todas as chaves que tenho no meu sistema não resolveu o problema.

Eu sei que o firefox a partir da versão 52 manipula certificados https inválidos de maneira mais rigorosa, mas não pode ser tão estrito. Mesmo o www.mozilla.org não funciona. Deve haver alguns outros problemas.

Uma instalação do firefox 52.0.1 em outro computador que eu tenho funciona ok, então não parece ser a rede.

Alguém tem uma ideia do que pode causar esse comportamento estranho?

aplausos!

    

Answer 1

Eu tive esse problema com o Firefox. Acontece que (de acordo com ssllabs.com , meu navegador suporta somente as seguintes curvas EC: x25519 , secp256r1 , secp384r1 secp521r1 .

O certificado que eu tinha gerado (conforme inspecionado pelo OpenSSL) usa uma curva diferente:

    Subject Public Key Info:
        Public Key Algorithm: id-ecPublicKey
            Public-Key: (570 bit)
            pub: 
                04:[...]
            ASN1 OID: sect571k1

Observe o nome da curva acima: sect571k1

Eu criei meu certificado usando keytool do Java e, evidentemente, ele suporta mais curvas do que meu navegador. O Firefox parece não ter reclamações ao importar o certificado. Parece que a "curva não suportada" seria uma mensagem de erro fácil de fornecer aos usuários.

Alterar o certificado para usar uma curva suportada pelo navegador corrigiu as coisas para mim.