Debian 12 OpenSSL 3.0.13 error "dh key too small"

Permalänk
Medlem

Debian 12 OpenSSL 3.0.13 error "dh key too small"

Hej, har en Linux install (Debian 12) i en VM jag håller på och grejar lite med men sprang på det här problemet nyligen vilket efter en hel del googling är relaterat till att OpenSSL versionen (3.0.13) är för ny med för höga/specifika krav. Problemet är att alla resultat jag hittar snackar om äldre versioner som hade liknande problem men då config layout har ändrats så verkar inte lösningen vara detsamma på nya versionen, hittade inte något hjälpsamt för nya config layouten.

Är rätt lost i vad som faktiskt behöver ändras för att det ska fungera igen, intressanta var att flesta resultat jag hittar pratade om att man behövde sänka security nivån för att tillåta 1024 bit keys men det verkar vara en 2048 bit key det handlar om som inte fungerar för mig nu så det hjälper inte heller.

När jag kollar cert med "openssl s_client -connect" så ger den exempelvis:

SSL routines:tls_process_ske_dhe:dh key too small:../ssl/statem/statem_clnt.c:2092:

New, (NONE), Cipher is (NONE)
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
Protocol : TLSv1.2
Cipher : 0000
Session-ID:
Session-ID-ctx:
Master-Key:
PSK identity: None
PSK identity hint: None
SRP username: None
Start Time: 1725210199
Timeout : 7200 (sec)
Verify return code: 0 (ok)
Extended master secret: no

Och nej förfråga att de fixar det på deras sida känns inte så viable så den idén kan kastas ut genom fönstret direkt.

Visa signatur

AMD Ryzen 7 7800X3D | Noctua NH-U12A | Gigabyte B650 Aorus Elite AX | Corsair 2x16GB DDR5 6000MHz CL30 Vengeance RGB | Sapphire RX 9070 XT Pure | Fractal Design Torrent Compact | Seasonic Prime GX 1300W | MSI Optix MAG274QRF-QD + HP ZR24w | WD Black SN850X 2TB | Windows 11 Home 64-Bit |

Permalänk
Medlem

Är det din server? Isf behöver du skapa dhparam som är minst 2048 bit

För nginx gör man såhär, och startar om processen https://gist.github.com/ageis/46882d96febef54854ed1baf064ed97...

Siffran du ser där är inte samma nyckel

Permalänk
Medlem
Skrivet av RaidSoft:

Hej, har en Linux install (Debian 12) i en VM jag håller på och grejar lite med men sprang på det här problemet nyligen vilket efter en hel del googling är relaterat till att OpenSSL versionen (3.0.13) är för ny med för höga/specifika krav. Problemet är att alla resultat jag hittar snackar om äldre versioner som hade liknande problem men då config layout har ändrats så verkar inte lösningen vara detsamma på nya versionen, hittade inte något hjälpsamt för nya config layouten.

Är rätt lost i vad som faktiskt behöver ändras för att det ska fungera igen, intressanta var att flesta resultat jag hittar pratade om att man behövde sänka security nivån för att tillåta 1024 bit keys men det verkar vara en 2048 bit key det handlar om som inte fungerar för mig nu så det hjälper inte heller.

När jag kollar cert med "openssl s_client -connect" så ger den exempelvis:

SSL routines:tls_process_ske_dhe:dh key too small:../ssl/statem/statem_clnt.c:2092:

New, (NONE), Cipher is (NONE)
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
Protocol : TLSv1.2
Cipher : 0000
Session-ID:
Session-ID-ctx:
Master-Key:
PSK identity: None
PSK identity hint: None
SRP username: None
Start Time: 1725210199
Timeout : 7200 (sec)
Verify return code: 0 (ok)
Extended master secret: no

Och nej förfråga att de fixar det på deras sida känns inte så viable så den idén kan kastas ut genom fönstret direkt.

Om du specifikt frågar om openssl s_client så tror jag du kan runda det med -cipher 'DEFAULT@SECLEVEL=1'.

Rätt lösning vore ju dock att ta den där serverns konfiguration ur forntiden...

Visa signatur

Desktop spel m.m.: Ryzen 9800X3D || MSI X870 Tomahawk Wifi || MSI Ventus 3x 5080 || Gskill FlareX 6000 64GB || Kingston KC3000 2TB || Samsung 970 EVO Plus 2TB || Samsung 960 Pro 1TB || Fractal Torrent || Asus PG42UQ 4K OLED
Arbetsstation: Ryzen 7945HX || Minisforum BD790i || Asus Proart 4070 Ti Super || Kingston Fury Impact 5600 65 GB || WD SN850 2TB || Samsung 990 Pro 2TB || Fractal Ridge
Proxmox server: Ryzen 5900X || Asrock Rack X570D4I-2T || Kingston 64GB ECC || WD Red SN700 1TB || Blandning av WD Red / Seagate Ironwolf för lagring || Fractal Node 304

Permalänk
Medlem

Nej det är inte min server det handlar om, då hade problemet varit lättare att lösa.

Jag ser det inte som en lösning att skicka ett mail som hamnar i voiden och aldrig kommer läsas av någon system administratör någonstans.

Visa signatur

AMD Ryzen 7 7800X3D | Noctua NH-U12A | Gigabyte B650 Aorus Elite AX | Corsair 2x16GB DDR5 6000MHz CL30 Vengeance RGB | Sapphire RX 9070 XT Pure | Fractal Design Torrent Compact | Seasonic Prime GX 1300W | MSI Optix MAG274QRF-QD + HP ZR24w | WD Black SN850X 2TB | Windows 11 Home 64-Bit |