IIS7部署SSL提醒支持弱Diffie-Hellman(DH)密钥交换导致评级低的解决办法

Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms\Diffie-Hellman] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHI...

【摘要】SSL/TLS服务器存在瞬时Diffie-Hellman公共密钥过弱漏洞（中风险），当密钥≤1024位时可能导致信息泄露。修复方案需禁用DH密码组：1) 修改SSL配置文件（Apache/Nginx）；2) 删除含DH/EDH的密码组配置；3) 重启服务；4) 使用openssl命令验证是否禁用成功。该操作需专业人员执行，通过删除弱密钥配置来消除信息泄露风险。修复后需重启服务并验证配置生效。

最近由于开发了一个电子商城项目，其中涉及银行的支付接口开发，所以把项目进行了https的部署，证书和秘钥都是用keytool生成的，但是当我用最近版本的Google浏览器进行访问的时候报错：“服务器的瞬时 Diffie-Hellman 公共密钥过弱”，上网找了一篇比较好的帖子于是乎转载了下来，以作备用。 最新版本的chrome（45.0.2454.85 m）在访问证书时，会报“服

处理服务器SSL收到了一个弱临时Diffie-Hellman 密钥 当我们用火狐浏览器打开某个HTTPS网站时可能会失败，并且出现如下错误提示：         安全连接失败连接某个URL网址时发生错误。 在服务器密钥交换握手信息中 SSL 收到了一个弱临时 Diffie-Hellman 密钥。         错误码： ssl_error_weak_server_ephemeral_d

DH 算法又称“Diffie–Hellman 算法”，像往常的算法名字一样，这是用俩个数学牛人的名字来命名的算法，，通讯双方在完全没有对方任何预先信息的条件下通过不安全信道创建起一个密钥。

等保测评系列 SSL/TLS 服务器瞬时 Diffie-Hellman 公共密钥过弱【原理扫描】 nginx修复方式：需编辑 nginx.conf 解决 1、生成 dhparams.pem文件 cd /usr/local/nginx/conf openssl dhparam -out dhparams.pem 2048 chmod -R 755 dhparams.pem 2、编辑 nging.conf 文件，server下添加 ssl_dhparam {path to dhparams

  一.  修改SSL密码套件 1.1  加固方法： 1.1.1  操作步骤： 第一步：按下' Win + R'，进入"运行"，键入" gpedit.msc"，打开"本地组策略编辑器"。 第二步：打开计算机配置->管理模板->网络->SSL配置设置。 第三步：在"SSL密码套件顺序"选项上，右键"编辑"->在"SSL密码套件顺序&q

3、使用Diffie-Hellman签名：为了保证通信双方交换的密钥是安全的，可以使用Diffie-Hellman签名来验证密钥交换过程中是否存在误差。Diffie-Hellman协议用于生成公共密钥对，以确保通信双方交换的密钥是安全的。其原理是：在两个节点之间交换一些随机数，然后使用这些随机数计算出一个固定的椭圆曲线参数（ECC），接着生成两个大质数p和q，它们将成为Diffie-Hellman密钥交换的基础。在实际使用中，由于计算ECC的过程中可能存在误差，导致生成的密钥可能存在一定程度的弱点。

详细描述 安全套接层（Secure Sockets Layer，SSL），一种安全协议，是网景公司（Netscape）在推出Web浏览器首版的同时提出的，目的是为网络通信提供安全及数据完整性。SSL在传输层对网络连接进行加密。传输层安全TLS（Transport Layer Security），IETF对SSL协议标准化（RFC 2246）后的产物，与SSL 3.0差异很小。  当服务

早点时间服务器扫描的时候报出一个漏洞，中风险 SSL/TLS：Diffie-Hellman密钥交换不足DH组强度漏洞，在漏洞说明文档中有两个参考地址： https://weakdh.org/sysadmin.html https://weakdh.org/ 按照这两个文档说明的解决办法就是： 先在服务器上执行下面这行命令： openssl dhparam -out dhparams.pem 2048 然后在tomcat里的server.xml文件配置加上 <Connector ciphers="T

如果您使用的是 SecureCRT® 8.0 或更高版本，尝试连接到仅支持 Diffie-Hellman 密钥交换的服务器可能会导致以下错误： 密钥交换失败。 没有兼容的密钥交换方法。服务器支持以下方法：diffie-hellman 在 SecureCRT 8.0 及更高版本中，由于 Logjam 漏洞，Diffie-Hellman 密钥交换方法默认关闭。对于具有安全意识的专业人员，应该禁用 Diffie-Hellman，并且应该升级或配置 SSH2 服务器实现以支持更安全的密钥交换算法。 Diffie-H

Diffie Hellman密钥协商用于在双方之间交换相同的秘密信息，例如交换对称加密的密钥，是基于离散对数困难问题的一个密钥协商协议。 所谓离散对数问题是说，有大素数p，

Diffie-Hellman密钥协议算法是一种确保共享密钥安全穿越不安全网络的方法。这个机制的巧妙在于需要安全通信的双方可以用这个方法确定对称密钥，然后可以用这个密钥进行加密和解密。但是注意，这个密钥交换协议双方确定要用的密钥后，要使用其他对称密钥操作加密算法实际加密和解密消息。

                 针对高版本的chrome和firefox出现的如下问题的解决方案    服务器的瞬时 Diffie-Hellman 公共密钥过弱         ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY     Resolving ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY error in Chro...

SSL/TLS 服务器瞬时 Diffie-Hellman 公共密钥过弱【原理扫描】 安全套接层（Secure Sockets Layer，SSL），一种安全协议，是网景公司（Netscape）在推出Web浏览器首版的同时提出的，目的是为网络通信提供安全及数据完整性。SSL在传输层对网络连接进行加密。传输层安全TLS（Transport Layer Security），IETF对SSL协议标准化（RFC 2246）后的产物，与SSL 3.0差异很小。 当服务器SSL/TLS的瞬时Diffie-Hellman公

关于加密，对称加密和非对称加密各有优劣，最佳方案是先使用非对称加密实现秘钥交换，后面再利用协商的结果作为对称加密的秘钥，具体可以参考 《》、《如果一定要在一条不安全的线路上交换秘钥，且交换的秘钥不能被中间人破解，则是本文关注的秘钥交换算法。