Well-known DH parameters in LiveConfig 2.0.1-r3988

intrahorst · 10. Dezember 2015

Hallo,

ich habe aktuell das Problem, dass HTTPS (443) und HTTPS (8443) noch mit bekannten DH fahren.

u.a. geprüft mit SSL-Check von LiveConfig:

8443:

Code

DH parameters (MD5): 97138d188212160fb1004726465276ad
Well-known DH parameters (LiveConfig default >=1.9.0)

443:

Code

DH parameters (MD5): d2fa2c43aa66be579b9ed9f6ff52c690
Well-known DH parameters (Apache default)

Laut changelog sollte dies aber nicht mehr der fall sein. Was kann ich tun?
Leider ratet SSLLABS alle HTTPs Seiten nun auf B!

Apache 2.2.22 (2.2.22-13+deb7u6)
Debian GNU/Linux 7.9 (Wheezy)

viele Grüße

intrahorst · 12. Dezember 2015

Hat keiner das Problem?
Was sagt das Liveconfig Team dazu?

intrahorst · 6. Januar 2016

Da sich bis jetzt noch nichts ergeben hat, weis einer wie man den LiveConfig Support erreichen kann?
Mein Ticket vom 17.12.15 ist bis jetzt auch gänzlich unbeantwortet geblieben.

Beichti · 6. Januar 2016

Bis zum 7.1 ist geschlossen .. Weihnachtsurlaub. Siehe Newsletter.

kk · 6. Januar 2016

In Bayern ist heute noch gesetzlicher Feiertag (Hl. Drei Könige).
Ab morgen sind wir wieder ganz normal erreichbar, telefonisch von 09-17 Uhr.

intrahorst · 6. Januar 2016

Zitat von Beichti

Bis zum 7.1 ist geschlossen .. Weihnachtsurlaub. Siehe Newsletter.

Ich finde es immer gut, solche Informationen auch ohne die Zwangsanmeldung am Newsletter zu sehen.

Aber vielen dank für die Information.

Zumal mein Ticket vom 17.12. ist und laut Ankündigung im Forum erst ab 31.12. die Rollläden unten waren.

Dann warte ich mal gespannt auf den 07.01.

Nosxxx · 6. Januar 2016

Bezüglich den DH Params wurde etwas angekündigt, aber noch nicht umgesetzt. Es soll auf längere Sicht "custom" generierte DH Keys geben, die des öfternen(1mal pro Monat oder so) im Hintergrund neu generiert werden.

intrahorst · 8. Januar 2016

Zitat von Nosxxx

Bezüglich den DH Params wurde etwas angekündigt, aber noch nicht umgesetzt. Es soll auf längere Sicht "custom" generierte DH Keys geben, die des öfternen(1mal pro Monat oder so) im Hintergrund neu generiert werden.

danke Nosxxx für die info.
Gibt es denn einen manuellen Fix dafür ohen liveconfig durcheinander zu bringen?

kk · 8. Januar 2016

Seit Version 1.9.1-r3707 fügt LiveConfig individuelle DH-Parameter an die jeweilige Zertifikatsdatei hinzu. Debian Wheezy unterstützt das seit Apache 2.2.22-13+deb7u4.

Mit anderen Worten: eigentlich sollten da aktuelle (nicht allgemeinbekannte) DH-Parameter mit ausgeliefert werden. Wenn das noch nicht der Fall ist, prüfen Sie bitte mal folgende Schritte:
1.) öffnen Sie die Datei /etc/apache2/sites-available/<Vertrag>.conf. Suchen Sie dort nach "SSLCertificateFile".
2.) öffnen Sie die angegebene Zertifikats-Datei (/etc/ssl/certs/[...].crt). Dort sollte erst das Zertifikat stehen ("---BEGIN CERTIFICATE ..."), danach ein Abschnitt mit DH-Parametern ("# custom DH parameters...").

Falls dort keine DH-Parameter stehen, prüfen Sie bitte ob die Datei /etc/apache2/dhparam.pem existiert. Falls nicht, geben Sie bitte Bescheid.
Wenn die Datei existiert, speichern Sie den Webhosting-Vertrag in LiveConfig neu (z.B. indem Sie irgendeine Subdomain-Einstellung für diesen Vertrag neu speichern). Damit sollte u.a. die /etc/apache2/sites-available/<Vertrag>.conf neu geschrieben werden, also auch die o.g. SSL-Zertifikats-Datei. Diese sollte dann eigentlich auch die (neuen) DH-Parameter enthalten.

Viele Grüße

-Klaus Keppler

Nosxxx · 8. Januar 2016

Bei ihm sind schon die Well-known DH parameters (LiveConfig default >=1.9.0) drinnen.
Oder sind bei dir die Checks nicht grün?

intrahorst · 9. Januar 2016

Hallo,

ich hab jetzt mal eine betroffene Domain verändert (subdomain).
Augenscheinlich hat sich hier nichts geändert.

SSLLAB markiert immer noch auf B und der Liveconfig SSL Check schreibt bei allen Checks außer bei FTPES (21), SMTP (25) und HTTPS (8443) ein Warning.

Ich denke mal es liegt an dem "DH parameters" der nur "1024 bits" ist.

meine beiden oberen Fehler:

8443:

Code

DH parameters (MD5): 97138d188212160fb1004726465276ad
Well-known DH parameters (LiveConfig default >=1.9.0)

443:

Code

DH parameters:	1024 bits 
DH parameters (MD5): d2fa2c43aa66be579b9ed9f6ff52c690
Well-known DH parameters (Apache default)

sind weiterhin gegeben.

ps: die DH Parameter Datei existiert.
Auch in den Zertifikaten sind diese enthalten, ich vermute das die Datei dhparam.pem zu alt ist?

Code

/etc/apache2/sites-available# ls -lsah /etc/apache2/dhparam.pem
4.0K -rw-r----- 1 root root 867 Sep 16 20:55 /etc/apache2/dhparam.pem

kk · 9. Januar 2016

Hallo,

schicken Sie bitte mal die Ausgabe von "liveconfig --diag" (der Abschnitt rund um Apache genügt) sowie den Namen der betroffenen Subdomain an support@liveconfig.com - ich würde mir gerne mal den konkreten Fall anschauen.
Auf unseren Systemen mit Debian Wheezy nutzt Apache überall 2048-Bit DH-Parameter (die auch nicht allgemein bekannt sind)...

Sphinx · 4. März 2016

Hallo,
habe ähnliche Probleme.
Ticket wurde bereits am 13.02.2016 unter [LC#2016021334000021] eröffnet, auch bereits nachgefragt, aber bislang keinerlei Reaktion!
Bin enttäuscht!
Grüße

intrahorst · 6. März 2016

Zitat von Sphinx

Hallo,
habe ähnliche Probleme.
Ticket wurde bereits am 13.02.2016 unter [LC#2016021334000021] eröffnet, auch bereits nachgefragt, aber bislang keinerlei Reaktion!
Bin enttäuscht!
Grüße

Mein Ticket ist immer noch offen und es gab lange zeit auch keine Antwort mehr.
Wirklich schade.

informant · 11. März 2016

Hallo, bei uns kommt diese Meldung bei folgenden Diensten: POP3, IMAP, SMTPS, Submission, IMAPS, POP3S

Alle configs wurden bereits neu erstellelt via liveconfig Routine, jedoch anschließend unverändert der 1024 statt 2048er DH Wert. Wie können wir diesen anpassen?

Wir haben dazu ebenfalls ein Ticket mit der Nummer [LC#2016031134000041] Re: dh parameter
erstellt.

MfG

Sphinx · 18. März 2016

Heute ist der 18.03.2016 und noch immer keine Reaktion.

Schade, liebes LiveConfig-Team, Professioneller Support sieht echt anders aus!!!

Aber mich wundert zwischenzeitlich nichts mehr, das scheint hier bei vielen Problemen/Anliegen so zu sein.

kk · 18. März 2016

Ich werde ich darum kümmern, dass die o.g. Anfragen am Montag bearbeitet werden (ab da ist unser Büro wieder voll besetzt).

Die häufigsten Ursachen für Probleme sind:
- Debian 6 wird noch verwendet (dort lassen sich keine individuellen DH-Parameter im Apache konfigurieren, zudem ist Debian 6 inzwischen "veraltet")
- 1024-Bit-Parameter für Mailservices sind so beabsichtigt, da es viele Clients gibt die mit größeren Parametern schlicht nicht zurecht kommen.

Mit freundlichen Grüßen

-Klaus Keppler

informant · 19. März 2016

Zitat von kk

Ich werde ich darum kümmern, dass die o.g. Anfragen am Montag bearbeitet werden (ab da ist unser Büro wieder voll besetzt).

Die häufigsten Ursachen für Probleme sind:
- Debian 6 wird noch verwendet (dort lassen sich keine individuellen DH-Parameter im Apache konfigurieren, zudem ist Debian 6 inzwischen "veraltet")
- 1024-Bit-Parameter für Mailservices sind so beabsichtigt, da es viele Clients gibt die mit größeren Parametern schlicht nicht zurecht kommen.

Mit freundlichen Grüßen

-Klaus Keppler

Alles anzeigen

Hallo, wir haben derzeit Debian 7 (Wheezy) installiert. Update auf Jessie (Debian folgt demnächst. Problem besteht auch mit Wheezy (v7).

MfG und ein schönes Wochenende.

aziegler · 21. März 2016

Port 8443 kann ich auf Jessie bestätigen, Port 443 nicht.

Jetzt mitmachen!