ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEYの修正方法

Question

私はウェブサイトを持っていて、最近chromeにアクセスしようとすると、このエラーが返され始めました：

ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY

これはJava + jsp Webサイトであり、Apache tomacatで実行されます。また、Verisign証明書を使用していますが、エラーはこの証明書に関連していないことを読みました。

助けてくれてありがとう。

Kal · Accepted Answer

私はこれに従って修正しました： http://support.filecatalyst.com/index.php?/Knowledgebase/Article/View/277/0/workaround-for-Tomcat-ssl-tls-logjam-vulnerability =

まとめると、server.xmlを編集しました。

コネクタプロトコルで、プロパティを変更しました

Protocol="TLS"

for

sslEnabledProtocols="TLSv1, TLSv1.1, TLSv1.2"

プロパティを追加しました

ciphers="TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_RC4_128_SHA, TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256, TLS_RSA_WITH_AES_256_CBC_SHA,SSL_RSA_WITH_RC4_128_SHA"

Steffen Ullrich · Answer

サーバーが弱いDiffie-Hellmanキーを使用しているため、 Logjam 攻撃の影響を受ける可能性があります。この攻撃のために、ますます多くのブラウザーとTLSスタックがDHキーの最小長を768または1024ビットに増やしています。おそらく、サーバーで使用しているOpenSSLバージョンは、デフォルトで512ビットのDHキーを使用していますが、これは小さすぎます。サーバー構成でより大きいDHキーを明示的に設定して、これを修正する必要があります。これがどのように行われるかはサーバーに依存します。詳細は TLSのDiffie-Hellmanの導入ガイドを参照してください。

Paweł Prażak · Answer

回避策があります（警告：これによりセキュリティの脆弱性が発生します！）

このパラメータを使用してChromeを起動します。

--cipher-suite-blacklist=0x0088,0x0087,0x0039,0x0038,0x0044,0x0045,0x0066,0x0032,0x0033,0x0016,0x0013

パラメータの説明：

0x0088 TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA 0x0087 TLS_DHE_DSS_WITH_CAMELLIA_256_CBC_SHA 0x0039 TLS_DHE_RSA_WITH_AES_256_CBC_SHA 0x0038 TLS_DHE_DSS_WITH_AES_256_CBC_SHA 0x0044 TLS_DHE_DSS_WITH_CAMELLIA_128_CBC_SHA 0x0045 TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA 0x0066 TLS_DHE_DSS_WITH_RC4_128_SHA 0x0032 TLS_DHE_DSS_WITH_AES_128_CBC_SHA 0x0033 TLS_DHE_RSA_WITH_AES_128_CBC_SHA 0x0016 TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA 0x0013 SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA