☰

MySQL의 Logjam 취약점을 수정하는 방법

tag-icon • tag-icon mysql debian openssl logjam
MySQL의 Logjam 취약점을 수정하는 방법

내 Debian 서버의 최신 openssl 업그레이드 이후 mysql 클라이언트가 연결할 수 없고 다음 메시지가 표시됩니다.

SSL connection error: error:14082174:SSL routines:SSL3_CHECK_CERT_AND_ALGORITHM:dh key too small

예방하기 위함인 것 같아요로그잼공격.

덕분에https://weakdh.org/sysadmin.html나는 더 강력한 Diffie-Hellman 매개변수를 생성하는 방법을 알고 있습니다. 그러나 실제로 이를 사용하는 MySQL 구성 옵션을 찾지 못했습니다.

아는 사람 있나요?

답변1

MySQL 5.7.6 릴리스 정보에는 다음이 포함되어 있습니다.

보안 수정:LogJam 문제로 인해(https://weakdh.org/), OpenSSL은 openssl-1.0.1n 이상의 Diffie-Hellman 키 길이 매개변수를 변경했습니다. OpenSSL은 다음 위치에서 자세한 설명을 제공했습니다.http://openssl.org/news/secadv_20150611.txt. MySQL에서 이러한 변경 사항을 적용하기 위해 Diffie-Hellman 키 생성을 위해 vio/viosslfactories.c에서 사용되는 키 길이가 512비트에서 2,048비트로 늘어났습니다. (버그 #77275, 버그 #21221862, 버그 #18367167, 버그 #21307471)

이는 DH 크기가 5.7.6 이전의 MySQL에서 512비트로 하드코딩된 것으로 나타납니다(영구적인 로그잼?). OpenSSL의 최신 버전에서는 이러한 취약한 키를 거부하므로 MySQL을 업그레이드하지 않고 OpenSSL을 업그레이드하면 문제가 발생하는 것으로 보입니다.

답변2

Diffie-Hellman이 아닌 SSL 암호를 강제로 사용하여 연결 문제를 해결할 수 있었습니다.

  • --ssl-cipher=AES256-SHAmysql 5.5.42 Linux 클라이언트를 사용하면 다음에 지정된 대로 명령줄 옵션을 지정하는 데 성공했습니다.이것버그 보고서.

  • 그러나 우리의 (Java7) MySQL 5.1.35 jdbc 클라이언트는 해당 암호를 좋아하지 않았지만 enabledSSLCipherSuites=TLS_RSA_WITH_AES_128_CBC_SHA권장대로 연결 문자열에 지정할 때 작동했습니다.여기.

YMMV

관련 정보