O que é uma chave DH? #
Uma chave Diffie-Hellman (DH) é um método criptográfico usado para trocar chaves secretas com segurança em uma rede não confiável. Ele permite que duas partes gerem pares de chaves públicas e privadas de forma independente, compartilhem suas chaves públicas e obtenham uma chave secreta compartilhada sem nunca transmitir suas chaves privadas. Esta chave secreta compartilhada pode então ser usada para criptografia, garantindo a confidencialidade e integridade da comunicação entre as duas partes. A troca de chaves DH é um componente fundamental de protocolos de comunicação seguros como SSL/TLS, SSH e VPNs, oferecendo proteção contra espionagem e garantindo transmissão segura de dados.
O que é uma chave ECDHE? #
Por outro lado, ECDHE, ou Elliptic Curve Diffie-Hellman Ephemeral, é um método de troca de chave criptográfica usado em protocolos de comunicação seguros como SSL/TLS para estabelecer uma conexão segura e eficiente entre duas partes. Ele aproveita a criptografia de curva elíptica para permitir a troca segura de chaves de criptografia. O ECDHE fornece Perfect Forward Secrecy gerando pares de chaves efêmeras para cada sessão, garantindo que mesmo que a chave de uma sessão seja comprometida, isso não compromete a segurança de outras sessões. Este método oferece um forte nível de segurança com comprimentos de chave mais curtos, tornando-o computacionalmente eficiente e adequado para diversas aplicações, incluindo navegação segura na web e criptografia de e-mail.
Etapas para analisar o erro muito pequeno da chave DH #
A análise do erro “Chave DH muito pequena” normalmente ocorre no contexto do uso de protocolos criptográficos como SSL/TLS ou SSH e refere-se ao uso de tamanhos de chave Diffie-Hellman fracos ou insuficientes para troca segura de chaves. Vamos revisar as mensagens de log em RELIANOID Balanceador de carga.
27 de julho 17:43:20 noid-ee-01 libra: MyHTTPfarm, BIO_do_handshake com:443 falhou: erro:141A318A:Rotinas SSL:tls_process_ske_dhe:chave dh muito pequena
Este erro sobre “chave DH muito pequena” é detectado ao conectar-se a um determinado backend. Podemos testar a conexão SSL com o seguinte comando:
root@noid-ee-01:~# openssl s_client -connect:443 -nome do servidor | grep Temp [...] Chave Temp do Servidor: [...]
Para um serviço seguro, a chave temporária do servidor deve ter 2048 bits. Portanto, se a chave DH do servidor estiver com desempenho muito baixo, essa mensagem de erro "Chave DH muito pequena" será exibida.
Por padrão, a configuração do OpenSSL no balanceador de carga permite no mínimo TLSv1.2 e um nível de segurança (SECLEVEL) de 2. Isso é definido no arquivo de configuração /etc/ssl/openssl.cnf.
[system_default_sect] MinProtocol = TLSv1.2 CipherString = DEFAULT@SECLEVEL=2
Portanto, para corrigir esse problema, é necessário reforçar a segurança das cifras no servidor e permitir cifras mais fortes, como “ ECDHE-RSA-AES256-GCM-SHA384, ECDHE-RSA-AES256-SHA384, ECDHE-RSA-AES256-SHA ”. Certifique-se de que essas cifras estejam disponíveis nos serviços seguros do seu servidor.
