在Ubuntu 16和Nginx中禁用Diffie-Hellman（DH）密鑰

Question

對於使用Nginx在Ubuntu 16中托管的網站，SSL測試始終顯示B級。 以下是顯示的原因。 另見附圖。 當前的SSL密碼設置如下。 我在ubuntu 16和Nginx的大約8到10台服務器上注意到了同樣的事情。

ssl_protocols TLSv1.2 TLSv1.1 TLSv1;
ssl_ciphers 'AES256+EECDH:AES256+EDH::!EECDH+aRSA+RC4:!RC4:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS';
ssl_session_cache shared:SSL:10m;

Diffie-Hellman（DH）密鑰交換參數。 等級上限為B.

Answer 1

最后我找到了解決方案。 默認情況下，Linux使用openssl提供的內置DH。 這使用弱鍵。 解決方案是生成我們自己的。 使用以下內容生成新的。 我用了2048，你也可以嘗試4096。

openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048

然后將其添加到nginx main conf並重新加載。 開始了。 我們現在有A級。

ssl_dhparam /etc/nginx/ssl/dhparam.pem;

參考網址： -

https://michael.lustfield.net/nginx/getting-a-perfect-ssl-labs-score

https://geekflare.com/nginx-webserver-security-hardening-guide/

Answer 2

Mozilla SSL配置生成器是正確配置TLS設置的最佳方式。