Wat is een DH-sleutel? #
Een Diffie-Hellman (DH)-sleutel is een cryptografische methode die wordt gebruikt om geheime sleutels veilig uit te wisselen via een onbetrouwbaar netwerk. Het stelt twee partijen in staat om onafhankelijk van elkaar publieke en private sleutelparen te genereren, hun publieke sleutels te delen en een gedeelde geheime sleutel af te leiden zonder ooit hun private sleutels te verzenden. Deze gedeelde geheime sleutel kan vervolgens worden gebruikt voor encryptie, waardoor de vertrouwelijkheid en integriteit van de communicatie tussen beide partijen wordt gewaarborgd. DH-sleuteluitwisseling is een fundamenteel onderdeel van beveiligde communicatieprotocollen zoals SSL/TLS, SSH en VPN's en biedt bescherming tegen afluisteren en zorgt voor een veilige gegevensoverdracht.
Wat is een ECDHE-sleutel? #
ECDHE, oftewel Elliptic Curve Diffie-Hellman Ephemeral, is een cryptografische sleuteluitwisselingsmethode die wordt gebruikt in beveiligde communicatieprotocollen zoals SSL/TLS om een veilige en efficiënte verbinding tussen twee partijen tot stand te brengen. Het maakt gebruik van elliptische curve-cryptografie om de veilige uitwisseling van encryptiesleutels mogelijk te maken. ECDHE biedt Perfect Forward Secrecy door voor elke sessie ephemerale sleutelparen te genereren. Dit zorgt ervoor dat zelfs als de sleutel van één sessie wordt gecompromitteerd, dit de beveiliging van andere sessies niet in gevaar brengt. Deze methode biedt een hoog beveiligingsniveau met kortere sleutellengtes, waardoor deze rekenkundig efficiënt is en zeer geschikt voor diverse toepassingen, waaronder veilig surfen op het web en e-mailversleuteling.
Stappen om de DH-sleutel te kleine fout te analyseren #
Het analyseren van de fout "DH-sleutel te klein" komt meestal voor in de context van het gebruik van cryptografische protocollen zoals SSL/TLS of SSH en verwijst naar het gebruik van zwakke of onvoldoende Diffie-Hellman-sleutelgroottes voor veilige sleuteluitwisseling. Laten we de logberichten in RELIANOID Loadbalancer.
27 juli 17:43:20 noid-ee-01 pond: MyHTTPfarm, BIO_do_handshake met:443 mislukt: fout:141A318A:SSL routines:tls_process_ske_dhe:dh sleutel te klein
Deze foutmelding "DH-sleutel te klein" wordt gedetecteerd bij het verbinden met een specifieke backend. We kunnen de SSL-verbinding testen met de volgende opdracht:
root@noid-ee-01:~# openssl s_client -connect:443 -servernaam | grep Temp [...] Server Temp-sleutel: [...]
De tijdelijke serversleutel moet 2048 bits zijn voor een goede beveiliging. Als de backend DH-sleutel te zwak presteert, verschijnt de foutmelding "DH-sleutel te klein".
Standaard staat de OpenSSL-configuratie in de load balancer minimaal TLSv1.2 en een SECLEVEL van 2 toe. Dit is gedefinieerd in het configuratiebestand /etc/ssl/openssl.cnf.
[system_default_sect] MinProtocol = TLSv1.2 CipherString = DEFAULT@SECLEVEL=2
Om dit probleem op te lossen, is het nodig om de versleutelingstechnieken aan de backend-zijde te versterken en sterkere versleutelingstechnieken zoals " ECDHE-RSA-AES256-GCM-SHA384, ECDHE-RSA-AES256-SHA384, ECDHE-RSA-AES256-SHA " toe te staan. Zorg ervoor dat dergelijke versleutelingstechnieken beschikbaar zijn in uw beveiligde backend-services.
