RHEL 7.9服务器弱SSL/TLS密钥交换漏洞修复求助

修复操作步骤 #

1. 调整SSL服务配置 #

根据你使用的Web服务（Apache/Nginx）修改对应配置文件：

• Apache：编辑/etc/httpd/conf.d/ssl.conf，在SSL配置段添加或修改以下内容：

  SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
  SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256
  SSLHonorCipherOrder on
  SSLDHParam /etc/httpd/conf.d/dhparam.pem
  

• Nginx：编辑/etc/nginx/nginx.conf或站点专属配置文件，添加或修改：

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256;
  ssl_prefer_server_ciphers on;
  ssl_dhparam /etc/nginx/dhparam.pem;
  

2. 生成2048位DHE参数文件 #

执行命令生成符合要求的DH参数文件（按服务类型放置到对应路径）：

# Apache路径
openssl dhparam -out /etc/httpd/conf.d/dhparam.pem 2048

# Nginx路径
openssl dhparam -out /etc/nginx/dhparam.pem 2048

注：生成过程耗时取决于服务器性能，通常需要1-5分钟

3. 重启SSL服务 #

• Apache服务重启：

  systemctl restart httpd
  

• Nginx服务重启：

  systemctl restart nginx
  

4. 验证修复结果 #

用openssl命令检查密钥长度：

openssl s_client -connect 你的服务器IP:443 -tls1_2 | grep "Server Temp Key"

输出显示DH, 2048 bits即表示修复成功。

内容的提问来源于stack exchange，提问作者Rupesh