强制 Chrome 忽略“弱临时 Diffie-Hellman 公钥”

Question

随着 Chrome 更新到 v45，它会阻止访问具有弱临时 Diffie-Hellman 公钥的页面。我知道这是由于 Logjam。我知道在某些情况下从 https 切换到 http 是一种“解决方案”。

但是，我无法从 https 切换到 http，因为我被我们在 Intranet 上使用的基于 Web 的软件自动重定向到 https。

显然，解决方案是将各种 Intranet 服务器的安全性更改为安全，以免出现阻塞，我理解这一点，但这不是目前的选项，在修复之前我无法做更多的工作。因为它是一个内部网，并且完全连接需要一个人在场，所以风险微乎其微。

有什么方法可以让我继续通过 https 协议访问页面，在 Chrome 版本 45 中使用弱的临时 Diffie-Hellman 公钥？

Answer 1

解决此问题的 Hacky 修复 (Mac OSX)

• 在命令行中运行此命令以解决启动 Chrome 时的问题

铬合金：

open /Applications/Google\ Chrome.app --args --cipher-suite-blacklist=0x0088,0x0087,0x0039,0x0038,0x0044,0x0045,0x0066,0x0032,0x0033,0x0016,0x0013

金丝雀：

open /Applications/Google\ Chrome\ Canary.app --args --cipher-suite-blacklist=0x0088,0x0087,0x0039,0x0038,0x0044,0x0045,0x0066,0x0032,0x0033,0x0016,0x0013

火狐浏览器

• 转到关于：配置
• 搜索security.ssl3.dhe_rsa_aes_128_sha和security.ssl3.dhe_rsa_aes_256_sha
• 将它们都设置为false.

注意：永久修复将更新长度大于 1024 的 DH 密钥

Answer 2

的确，似乎浏览器已经认真对待了长度低于 1024 的 Diffie-Hellman 问题，这在一定程度上是个好消息，但另一方面，它已经产生了很多愤怒的 Chrome 用户。

解决此问题（以及许多其他与安全相关的问题）是系统管理员的责任，因此据我所知，阻止任何提供弱 512 位或更低 Diffie-Hellman 密钥的网站的决定是对针对那些在远程站点上管理安全性的人，用户的“缺点”会受到影响。

目前可以通过使用--cipher-suite-blacklist= 0x0088,0x0087,0x0039,0x0038,0x0044,0x0045,0x0066,0x0032,0x0033,0x0016,0x0013参数运行谷歌浏览器浏览器时将一些密码套件列入黑名单，这似乎禁用了与 LogJam 漏洞相关的那些并允许用户加入网站，但我坚持认为这应该是系统管理员的责任用他们的 Diffie-Hellmann 密钥解决这个问题。