禁用DH密钥对好吗？答案

【问题标题】：Is it good to disable DH keypair?禁用DH密钥对好吗？
【发布时间】：2019-01-03 09:14:28
【问题描述】：

运行 java 代码'Could not generate DH keypair' 时出现以下异常（我使用 TLSv1.2）。

我将素数大小从 1024 转换为 2048，但我总是遇到同样的错误。

然后我禁用了 DH，它运行良好。

但是，禁用 DH 好吗？会影响安全吗？我们什么时候可以禁用它？

【问题讨论】：

您需要提供更多详细信息，例如您使用的类和函数，以及您当时和现在使用的选项。通常 DH 代表 diffie hellman 密钥交换，它提供完美的前向保密。禁用它通常会对您的应用程序的安全性产生负面影响，但它是否真的这样做取决于您的威胁模型
请提供完整的堆栈跟踪以及运行时配置的任何信息/更改。

【解决方案1】：

但是，禁用DH好不好？

这取决于情况。通常 ECDH（使用椭圆曲线而不是有限群的 Diffie Hellman）仍然可用。虽然这更容易受到量子密码分析的影响，但它通常会提高安全级别。

它会影响安全吗？

见上文。如果您必须依赖RSA_ 模式，您将失去前向安全性。

我们什么时候可以禁用它？

见上文。通常我会禁用它并确保 ECDHE_ 密码套件可用。

我会担心如果我不知道为什么它将无法运行。这可能指向配置错误的软件配置。

【讨论】：