[D10.3] Erreur EIdOSSLUnderlyingCryptoError avec TIdHTTP

Version imprimable

11/05/2020, 08h00
Lung

[D10.3] Erreur EIdOSSLUnderlyingCryptoError avec TIdHTTP

J'ai une unité écrite sous D2007 (pour un projet D2007) utilisant TIdHTTP pour attaquer un webservice.
Sous D2007, tout fonctionne bien.

La même unité utilisée depuis un projet D10.3, me donne l'erreur suivante à chaque appel de IdHTTP.DoRequest(): :bug:

Citation:

Code = 404 - [EIdOSSLUnderlyingCryptoError] Erreur lors de la connexion avec SSL.
error:1407742E:SSL routines:SSL23_GET_SERVER_HELLO:tlsv1 alert protocol version

Je ne comprend pas pourquoi ça ne peut pas marcher aussi bien que sous D2007, et je ne trouve rien de clair avec google.
Quelqu'un saurait à quoi correspond exactement le pb, et ce qui ne va pas ?

:hola:
11/05/2020, 23h34
Paul TOTH

Salut,

tu as un problème de version de TLS/SSL, mais c'est pas déjà avec toi que j'ai parlé de cela ? :D

idHTTP ne sait pas faire du HTTPS sans un IOHandler, celui de OpenSSL ou celui de SChannel

Citation:

Envoyé par Paul TOTH

c'est pas déjà avec toi que j'ai parlé de cela ? :D

Peut-être, me souviens pas .. :oops:

Citation:

Envoyé par Paul TOTH

idHTTP ne sait pas faire du HTTPS sans un IOHandler

Ca, je savais déjà. J'ai sûrement (presque) fait tout ce qu'il faut, puisque tout marche parfaitement bien sous D2007.
Qu'est ce qu'ils ont encore inventé sous D10.3, pour ça ne marche pas ... :furieux:

Et j'ai essayé tout plein de combinaisons de valeurs pour IdIoHandler.SSLOptions.Method et IdIoHandler.SSLOptions.SSLVersions, mais sans succès ... :bug:

Citation:

[EIdOSSLUnderlyingCryptoError] Erreur lors de la connexion avec SSL.
error:1407742E:SSL routines:SSL23_GET_SERVER_HELLO:tlsv1 alert protocol version

Parfois une variante :

Citation:

[EIdOSSLUnderlyingCryptoError] Erreur lors de la connexion avec SSL.
error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
type
   TMonIdHTTP = class(TIdHTTP);
...
 
var
  IdHTTP: TMonIdHTTP;
  IdIoHandler: TIdSSLIOHandlerSocketOpenSSL;
  Question, Reponse: TStringStream;
  i: Integer;
begin
  IdIoHandler := nil;
  IdHTTP := TMonIdHTTP.Create(nil);
  Question := TStringStream.Create(sCorps);
  Reponse := TStringStream.Create('');
  try
    IdHTTP.ConnectTimeout := nTimeOutConnexion;
    IdHTTP.ReadTimeout := nTimeOutLecture;
    IdHTTP.Request.ContentType := 'application/json';
    IdHttp.Request.ContentEncoding := 'utf-8';
    IdHTTP.Request.CustomHeaders.FoldLines := False;
//    IdHTTP.HTTPOptions := [hoNoProtocolErrorException];
    if Assigned(EnTetes) then
    begin
      for i:=0 to Pred(EnTetes.Count) do
        IdHTTP.Request.CustomHeaders.AddValue(EnTetes.Names[i], EnTetes.ValueFromIndex[i]);
    end;
    if LowerCase(Copy(sURL, 1, 5)) = 'https' then
    begin
      IdIoHandler := TIdSSLIOHandlerSocketOpenSSL.Create(nil);
      IdIoHandler.Destination := TIDURI.URLEncode(sURL);
      IdIoHandler.SSLOptions.Method := sslvSSLv23;                                                                                   // <------- Ici, j'ai essayé toutes les valeurs.
      IdIoHandler.SSLOptions.SSLVersions := [sslvSSLv2, sslvSSLv23, sslvSSLv3, sslvTLSv1, sslvTLSv1_1, sslvTLSv1_2];         // <------- Ici, j'ai essayé plein de combinaisons.
      IdHTTP.IOHandler := IdIoHandler;
    end;
 
    // Appel web-service.
    try
      IdHTTP.DoRequest(sMethode, TIDURI.URLEncode(sURL), Question, Reponse, []);        // <------ Ici l'erreur.
      Result := IdHTTP.ResponseCode;
      {$IF CompilerVersion > 18.5}
        sReponseJSon := UTF8ToString(RawByteString(Reponse.DataString));
      {$ELSE}
        sReponseJSon := UTF8Decode(Reponse.DataString);
      {$IFEND}
    except
      on E: EIdHTTPProtocolException do
      begin
        Result := E.ErrorCode;
        {$IF CompilerVersion > 18.5}
          sReponseJSon := UTF8ToString(RawByteString(E.ErrorMessage));
        {$ELSE}
          sReponseJSon := UTF8Decode(E.ErrorMessage);
        {$IFEND}
      end;
 
      on E: Exception do
      begin
        Result := 404;
        sReponseJSon := '[' + E.className + ']  ' + E.Message;
      end;
    end;
  finally
    Question.Free;
    Reponse.Free;
    if Assigned(IdIoHandler) then
      IdIoHandler.Free;
    IdHTTP.Free;
  end;

Et comme il n'y a plus d'aide fournie avec Indy, à part ce site officiel (https://github.com/IndySockets/Indy/issues/125) qui est loin d'être d'une grande aide ...
:calim2:

12/05/2020, 08h08
Lung

J'ai testé ce matin le Post(), mais même résultat :

Code:

IdHTTP.Post(TIDURI.URLEncode(sURL), Question, Reponse);

:(
12/05/2020, 09h58
SergioMaster

Bonjour,

Tu n'aurais pas un problème de bibliothèque ssl tout simplement ? As-tu vérifié la version utilisée ?
Une copie dans le répertoire d'exécution pour en être sûr pourrait être un bon test, pour peu que, dans le répertoire système ce ne soit pas une version "compatible"
Version différente de Indy implique peut-être version différente de SSL surtout une version ante Unicode versus Unicode

Citation:

Envoyé par Open SSL

April 21, 2020 - All users and applications should be using the OpenSSL 1.1.1 (LTS) series at this point. 1.0.2 (LTS) series is only being made available for a little longer. 1.1.0 series is completely out of support.

Pour info le docwiki de Rio pointe sur le chargement de la 1.0.2
12/05/2020, 13h37
Lung

J'ai testé un projet de test d'un collègue (en D10.3) qui me donnait la même erreur.
Donc, le pb venait de mon poste.
On m'a parlé de DLL.
J'ai fait une recherche, et j'ai une cinquantaine d'exemplaires de libeay32.dll et ssleay32.dll sur mon poste.
Apparemment, chaque application possède au moins un exemplaire de ces DLL (voire plusieurs). Les applications et modules Microsoft font pareil (je suppose que c'est la bonne façon de faire, avec ces DLL).

J'en ai copié au hasard dans mon répertoire, et ça s'est mis à marcher en D10.3, à condition d'utiliser la fonction Post() et non DoRequest()
J'ai rajouté des if de compilation pour ne pas perturber ce qui marche sous D2007.

Citation:

Envoyé par SergioMaster

Tu n'aurais pas un problème de bibliothèque ssl tout simplement ? As-tu vérifié la version utilisée ?

Tu parles de la version des fichiers DLL ?
Ceux que j'ai collé ont la version 1.0.1.3

Citation:

Envoyé par SergioMaster

dans le répertoire système ce ne soit pas une version "compatible"

Il n'y en a pas dans des répertoires du genre \system 32\
Je suppose que c'est parce que chaque exe utilise les siennes.

Citation:

Envoyé par SergioMaster

surtout une version ante Unicode versus Unicode

Effectivement.

Apparemment, ça a l'air de marcher comme ça.
:merci: de vous être penchés sur mon pb.
12/05/2020, 14h15
SergioMaster

Citation:

Envoyé par Lung

Il n'y en a pas dans des répertoires du genre \system 32\

Oui mais, pour peu que ce soit un système 64 bits, il faudrait aussi vérifier dans SYSWOW64 ;)

Citation:

Tu parles de la version des fichiers DLL ?
Ceux que j'ai collé ont la version 1.0.1.3

Comme j'ai indiqué, pour Rio ce serait la 1.0.2 la plus indiquée

Citation:
Envoyé par Lung
...
Code:

1 2 3 IdIoHandler.SSLOptions.Method := sslvSSLv23; // <------- Ici, j'ai essayé toutes les valeurs. IdIoHandler.SSLOptions.SSLVersions := [sslvSSLv2, sslvSSLv23, sslvSSLv3, sslvTLSv1, sslvTLSv1_1, sslvTLSv1_2]; // <------- Ici, j'ai essayé plein de combinaisons.
...
SSL c'est l'ancêtre de TLS et c'est complètement déprécié
TLS v1 est déprécié
TLS V1.1 aussi
en fait tu devrais tuiliser TLSv1_2 ou plus récent (si ou quand dispo)

la seule raison de venir sur des versions plus anciennes serait que le serveur ne soit pas à jour

ensuite il faut que la DLL soit dans une version qui supporte cette version évidemment. le support TLS 1.2 est apparu dans OpenSSL 1.0.1, tout version plus ancienne échouera donc forcément...mais il est recommandé d'utiliser la dernière version donc 1.1.1 à priori...sur mon poste j'ai du 1.0.2.11...mais en fait de plus en plus je passe par SChannel car cela m'évite d'avoir à diffuser OpenSSL.