Le pagine UCCX 10.6 non vengono caricate in IE11 dopo l'installazione di Microsoft KB3161608/KB3161606

Introduzione

Questo documento descrive gli scenari che possono determinare il mancato caricamento delle pagine Web Cisco Unified Contact Center Express (UCCX) e/o Finesse, a seconda della versione di UCCX 10.6 installata.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Amministrazione di Windows
• Amministrazione e configurazione UCCX

Componenti usati

Le informazioni di questo documento si basano sulle seguenti versioni software:

•  Cisco Unified Contact Center Express 10.6(1)
• Cisco Unified Contact Center Express 10.6(1) SU1
• Windows 7 o 8
• Internet Explorer 11

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Scenario 1

• UCCX versione 10.6(1) base con certificato SHA (Secure Hash Algorithm)1 o SHA256
• Internet Explorer (IE) 11 per Windows 7 o 8
• Installare KB3161608 in Windows 7 o KB3161606 in Windows 8

Risultato

Quando si passa alla pagina di accesso UCCX Web Admin o Finesse in IE11, viene visualizzato il messaggio "This page cannot be displayed" (Impossibile visualizzare questa pagina).

Scenario 2

• UCCX 10.6(1) SU1 con certificato SHA1 o SHA256
• IE11 per Windows 7 o 8
• Installare KB3161608 in Windows 7 o KB3161606 in Windows 8

Risultato

Il risultato di questo scenario è il seguente:

• La pagina UCCX Web Admin viene caricata e consente di eseguire correttamente il login.
• La pagina di accesso Finesse viene caricata e consente all'utente di immettere le credenziali. Tuttavia, Finesse chiede all'utente di accettare i certificati 7443 ma la pagina non viene caricata con lo stesso messaggio: "Questa pagina non può essere visualizzata".

Analisi

I KB sono in realtà un pacchetto di aggiornamenti che installa questo in particolare aggiornamento KB3161639 per aggiungere nuove suite di cifratura a Internet Explorer e Microsoft Edge in Windows. Esaminando più attentamente questa Knowledge Base, le due suite di cifratura TLS (Transport Layer Security) vengono aggiunte all'elenco di quelle utilizzate da IE: TLS_DHE_RSA_WITH_AES_128_CBC_SHA e TLS_DHE_RSA_WITH_AES_256_CBC_SHA.

In Firefox questi possono essere disattivati mediante la seguente procedura:

1. Passare a about:config.
2. Cercare security.ssl3.dhe in tale file.
3. Fare doppio clic su security.ssl3.dhe_rsa_aes_256_sha e security.ssl3.dhe_rsa_aes_128_sha per impostarli su false.

Tuttavia, con IE11 non è possibile implementare soluzioni alternative tramite il browser. Al contrario, un amministratore modifica i criteri di gruppo locali o di dominio per escludere le cifrature nella configurazione SSL.

Per modificare il criterio locale tramite il modulo di Windows gpedit.msc, selezionare Configurazione computer >Strumenti di amministrazione >Rete >Impostazioni di configurazione SSL >Ordine suite di crittografia SSL.

Se l'ordine suite è impostato su Disabilitato o Non configurato, viene utilizzato l'ordine predefinito e viene bloccato l'accesso a UCCX/Finesse. Al contrario, questa opzione deve essere impostata su Enabled (Attivata) e l'ordine delle suite di cifratura deve essere modificato in modo da escludere le due cifrature sopra menzionate. Si noti la restrizione relativa all'utilizzo dell'elenco di cifrari, in quanto la lunghezza non può superare i 1023 caratteri. Di seguito è riportato l'elenco di cifratura utilizzato con UCCX/Finesse 10.6:

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384,
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384,
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384,
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256,
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256,
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384,
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384,
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384,
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,
TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,
TLS_DHE_DSS_WITH_AES_256_CBC_SHA,
TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,
TLS_DHE_DSS_WITH_AES_128_CBC_SHA,
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA,
TLS_RSA_WITH_AES_256_CBC_SHA256,
TLS_RSA_WITH_AES_256_CBC_SHA,
TLS_RSA_WITH_AES_128_CBC_SHA256,
TLS_RSA_WITH_AES_128_CBC_SHA,
TLS_RSA_WITH_3DES_EDE_CBC_SHA,
SSL_CK_DES_192_EDE3_CBC_WITH_MD5

L'altra opzione consiste nel rimuovere KB3161608 o KB3161606 da tutti i computer che devono accedere a Finesse o UCCX Web Admin.

Questo problema non è presente in UCCX 10.6(1) SU2 o 11.0 poiché la vulnerabilità logjam è stata risolta in queste versioni. Esiste un difetto associato a questo problema, CSCuv89545 , che viene risolto in UCCX 10.6 SU1 ES02 e SU2. Un difetto correlato, CSCuu82538 , viene risolto in macchine virtuali che eseguono Red Hat Enterprise 6 come sistema operativo guest.

Nota: Un aggiornamento simile per Windows 10 (KB3163018) causa anche questo problema in UCCX versione 10.6 e 10.6 SU1 quando si utilizza IE11. Tuttavia, Windows 10 non è un sistema operativo supportato per queste versioni di UCCX e non deve essere utilizzato. Quando si utilizza Windows 10, è possibile risolvere il problema utilizzando Firefox, aggiornare UCCX alla versione 10.6 SU2 o rimuovere l'aggiornamento della Knowledge Base