如何使用 MySQL 修复 Logjam 漏洞

Question

由于我的 Debian 服务器上的最新 openssl 升级，我的 mysql 客户端无法连接并给出以下消息

SSL connection error: error:14082174:SSL routines:SSL3_CHECK_CERT_AND_ALGORITHM:dh key too small

我猜这是为了防止Logjam攻击。

感谢https://weakdh.org/sysadmin.html，我知道如何生成更强的 Diffie-Hellman 参数。但是，我没有找到任何 MySQL 配置选项来实际使用它们。

有人知道吗？

Answer 1

MySQL 5.7.6 发行说明包含以下内容：

安全修复：由于 LogJam 问题 ( https://weakdh.org/ )，OpenSSL 更改了 openssl-1.0.1n 及更高版本的 Diffie-Hellman 密钥长度参数。OpenSSL 在http://openssl.org/news/secadv_20150611.txt提供了详细的解释。为了在 MySQL 中采用这一更改，vio/viosslfactories.c 中用于创建 Diffie-Hellman 密钥的密钥长度已从 512 位增加到 2,048 位。（错误#77275、错误#21221862、错误#18367167、错误#21307471）

由此可见，在 5.7.6 之前的 MySQL 中，DH 大小被硬编码为 512 位（永久阻塞？）。由于 OpenSSL 的更高版本拒绝这些弱密钥，因此在不升级 MySQL 的情况下升级 OpenSSL 似乎会破坏一些东西。