如何修复 OpenVPN 服务器配置中的 Logjam 漏洞？

Question

在撰写本文时（第 2 天），关于如何缓解 Apache 和其他 Web 服务器的 Logjam 的准确指南很少，例如此页面：

https://weakdh.org/sysadmin.html

OpenVPN 服务器的类似说明是什么？

OpenVPN 是否受到影响？（我想是的，因为它是 TLS 协议问题）。

Answer 1

这些攻击仅以非常有限的方式影响 OpenVPN，因为：

1. OpenVPN 鼓励用户使用“openssl dhparam”生成他们自己的 DH 组，而不是使用公共组。手册页/示例用于提供 1024 位 DH 密钥（最近更新为 2048），尽管可以破坏 1024 位 dh 参数，但仍然非常昂贵。如果您不与其他人共享该组，那么您的数据可能太贵了。
2. OpenVPN 不支持 EXPORT DH 参数，因此 TLS 回滚攻击不适用于 OpenVPN。

为了安全起见，请使用至少 2048 位的 DH 参数。更新 DH 参数很容易，只需要在服务器上进行更改。使用例如生成新参数

$ openssl dhparam -out dh3072.pem 3072

然后更新您的服务器配置以使用这些新参数

dh dh3072.pem

并重新启动服务器。