ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY

• Старый nginx/Apache с default 1024-bit DH params
• Unused ssl_dhparam — дефолтный 1024-bit Java/OpenSSL
• Cipher list содержит DHE-* (без EC)
• Legacy Java сервер с DH 512
• OpenSSL < 1.0.2 с weak defaults

1. Сгенерируйте 2048-bit DH: openssl dhparam -out dhparam.pem 2048 (5-10 минут)
2. nginx: ssl_dhparam /etc/ssl/dhparam.pem;
3. Предпочитайте ECDHE: ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
4. Или убрать DHE полностью (только ECDHE)
5. Enterno SSL для DH audit

Проверить SSL-сертификат →

• ERR_SSL_PROTOCOL_ERROR
• NET::ERR_CERT_AUTHORITY_INVALID
• SSL Handshake Failed
• Все SSL-ошибки

Ошибка ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY возникает из-за использования слабых DH-ключей в процессе установки SSL-соединения. Чтобы устранить эту проблему, необходимо настроить сервер для использования более сильных ключей, установив MinProtocol = TLSv1.2 и обновив параметры ssl_dhparam в конфигурации вашего веб-сервера. Рекомендуется использовать DH-ключи длиной не менее 2048 бит.

Ошибка ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY связана с недостаточно сильными параметрами Диффи-Хеллмана (DH) для создания временных ключей, что делает ваше соединение уязвимым для атак, таких как Logjam. Веб-серверы, которые используют DH-ключи длиной менее 1024 бит или стандартные параметры, могут столкнуться с этой ошибкой при попытке установить защищенное HTTPS-соединение.

Основные причины включают:

• Использование устаревших версий OpenSSL с низкими настройками безопасности.
• Неправильная конфигурация веб-сервера, которая допускает использование слабых DH-ключей.
• Отсутствие обновлений и патчей, которые могли бы улучшить безопасность.

Для устранения проблемы необходимо перейти на более современные протоколы шифрования и обеспечить поддержку только сильных ключей.

Для исправления ошибки ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY необходимо внести изменения в конфигурацию вашего веб-сервера. Приведем пример для сервера Nginx:

server {
    listen 443 ssl;
    server_name example.com;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256';
    ssl_dhparam /etc/ssl/certs/dhparam.pem;

    # Другие настройки сервера
}

В этом примере:

• ssl_protocols ограничивает использование только современных протоколов TLS.
• ssl_ciphers определяет сильные шифры, которые могут быть использованы для установления соединения.
• ssl_dhparam указывает на файл с параметрами DH, который вы должны сгенерировать заранее.

Чтобы сгенерировать DH-ключи длиной 2048 бит, выполните следующую команду:

openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

После внесения изменений не забудьте перезапустить сервер:

systemctl restart nginx

Проверить настройки сервера можно с помощью инструмента SSL Labs, который покажет, используются ли слабые DH-ключи.