不支持SSL密码，如何禁用它？

Question

我有一个linux系统，它有一个版本的OpenSSL 0.9.8j-fips 07 Jan 2009和Apache Server version: Apache/2.4.27 (Unix)。

Apache存在通过安全LDAPS连接远程DC Windows 2016服务器的问题。

我通过捕获数据包来追踪这个问题。下面是openssl测试命令24651:error:1408D13A:SSL routines:SSL3_GET_KEY_EXCHANGE:unable to find ecdh parameters:s3_clnt.c:1342:的输出

在网络转储中，提出了密码TLS_ECDE_RSA_WITH AES_256_CBC_SHA。DC接受apache客户端hello握手，并通知它上面的密码将用于未来的通信，并提供一个特定的曲线。然后apache客户端发送致命警报(内部错误)。

另一件需要注意的事情是，到目前为止，在W2016的位置上有一台用于连接的旧W2008服务器，而且一切都很好。

解决这一问题的最佳方法是什么?如何解决？

• 通过将apache配置为不使用密码
• 通过将Windows配置为不使用密码
• 通过更新Linux服务器上的openssl
• 通过禁用openssl配置中的密码

下面是apache配置SSLCipherSuite HIGH:MEDIUM:!MD5:!RC4:!3DES SSLProxyCipherSuite HIGH:MEDIUM:!MD5:!RC4:!3DES

编辑:经过一些测试后，远程DC似乎对3 does、RSA和RC4密码没有问题，我正在考虑将此规则设置为apache -

SSLCipherSuite AES128-SHA:HIGH:MEDIUM:!MD5:!RC4:!3DES:!ECDH SSLProxyCipherSuite AES128-SHA:HIGH:MEDIUM:!MD5:!RC4:!3DES:!ECDH，你觉得呢？

提前感谢你的回答，感谢你的时间和注意力。

Answer 1

我不认为SSLCipherSuite / SSLProxyCipherSuite会影响Apache与LDAP服务器的对话方式，相反，它是mod_ssl描述向HTTPS客户端提供哪些密码的设置。这是不相关的环境。

恐怕您必须将Windows服务器上受支持的密码列表设置为Apache主机仍然支持的不那么严格的密码。您可能需要启用RC4密码，或者类似的东西。

本质上，您需要找到一个Windows和Apache都可以接受的设置，即使需要进行一些配置更改。

或者确实升级了Linux -从OpenSSL版本来看，我猜它将是一些旧的CentOS 5或类似的老版本，可能也充满了安全问题。