Firefox blokkeert zwakke Diffie-Hellman-sleutels

Probeer Ons Instrument Voor Het Oplossen Van Problemen

Mozilla bekend gemaakt op 30 september 2016 dat het de beslissing heeft genomen om sterkere Diffie-Hellman-sleutels af te dwingen in de Firefox-webbrowser.

Firefox-gebruikers die websites bezoeken die zwakke - nu minder dan 1023 bits - gebruiken, zien een verbindingsfoutbericht in de webbrowser in plaats van de eigenlijke site.

Het bericht luidt 'beveiligde verbinding mislukt' en de opgegeven reden is de volgende:

SSL ontving een zwakke kortstondige Diffie-Hellman-sleutel in het Server Key Exchange-handshakebericht. Foutcode: SSL_ERROR_WEAK_SERVER_EPHEMERAL_DH_KEY

De pagina bevat een leer meer link die leidt naar de Firefox 'wat betekent dat uw verbinding niet beveiligd is' ondersteuningspagina op Mozilla Support.

firefox secure connectio nfailed

Op de foutpagina zelf staat een 'probeer het opnieuw'-knop, maar er is geen optie om het beleid te negeren en de eigenlijke website te openen.

Voor het geval u zich afvraagt, dit is hoe andere browsers sites met zwakke Diffie-Hellman-sleutels behandelen:

  1. Google Chrome, Opera en Vivaldi gooi een 'deze site kan geen beveiligde verbinding bieden'-fout zonder overschrijfoptie. Andere op Chrome of Chromium gebaseerde browsers geven waarschijnlijk dezelfde foutmelding.
  2. Flauwe maan genereert een 'beveiligde verbinding mislukt'-fout.
  3. Microsoft Edge geeft in plaats daarvan de fout 'hmm, we kunnen deze pagina niet bereiken' weer.
  4. Internet Explorer gooit de fout 'deze pagina kan niet worden weergegeven.

Volgens Mozilla is een klein aantal servers nog steeds geconfigureerd om zwakke sleutels te gebruiken die kwetsbaar zijn voor aanvallen.

Als reactie op recente ontwikkelingen waarbij Diffie-Hellman-sleuteluitwisseling (https://weakdh.org/) werd aangevallen en om de privacy van Firefox-gebruikers te beschermen, hebben we de minimale sleutelgrootte voor TLS-handshakes met behulp van Diffie-Hellman-sleuteluitwisseling verhoogd tot 1023 bits. Een klein aantal servers is niet geconfigureerd om sterk genoeg sleutels te gebruiken. Als een gebruiker probeert verbinding te maken met een dergelijke server, zal hij de fout 'ssl_error_weak_server_ephemeral_dh_key' tegenkomen.

De organisatie noemt met name de Logjam-aanval die het TLS-protocol aanvalt.

Alle grote browsers blokkeren sites die zwakke Diffie-Hellman-sleutels gebruiken, zonder optie voor overschrijven. Voor het geval u zich afvraagt, geeft Firefox de voorkeur aan negeer zwakke beveiligingscertificaten werkt ook niet.