Zurzeit (seit dem letzen Update / aktivieren des Events Plugin) kann nicht auf Beiträge per E-Mail geantwortet werden.
Hatte einer von euch diesen Fall schon einmal oder kann mit den Hinweisen aus den Logs etwas anfangen?
Make sure any TLS libraries you use are up-to-date, that servers you maintain use 2048-bit or larger primes, and that clients you maintain reject Diffie-Hellman primes smaller than 1024-bit.
Also benutzt lima-city schwache Krypto. Ich habe mal eine Mail an support@lima-city.de geschrieben.
From: Michael via Forum Makerspace Gütersloh <noreply@discourse-mksp.4830.org>
… ich glaube, ich kann mit die Antwort per Mail sparen, daher gleich hier:
Uh-oh … TLS bei Mail ist noch ein ganz anderes „Problem“ als im Web; Mail ist oft selfsigned, da es eh’ nicht verifiziert wird (jahrelang wurde), und auch eher selten angefaßt wird (außer bei Mail-Providern, die haben ja keine anderen Hobbies ;)). Ich mußte bislang 2(!) Mailserver auf no-tls forcen, weil sie zu schwache Krypto, die mein uralter sendmail halt nur hat, ablehnen …
… aber sag’ gerne mal Bescheid, was zurückkam als Antwort
-kai
Zeigt mit für den Key „PKCS#3 DH Parameters: (2048 bit)“ an. Das scheint mir also soweit korrekt zu sein und stimmt genau mit dem weak-dh Deployment Guide überein (bis auf ein paar Ciphers, die wir noch nicht abgelehnt haben).
Die von Dir genannten 256 Bit sind übrigens für AES - wo 256 Bit vollkommen ausreichen, da geht es um symmetrische Krypto, das Problem sollen aber die Diffie-Hellman-Parameter sein.
Irgendwas scheint mir da noch nicht ganz richtig zu sein. Oder haben die Ciphers das Problem schon gelöst?
Mit freundlichen Grüßen
Dann muss das Problem noch an einer anderen Stelle liegen. @wusel kannst du noch ein Postfach bei 4830.org einrichten das wir vorübergehend nutzen können?
Hallo Michael,
danke für die Geduld. Ich habe mich noch etwas eingehender mit der Sache beschäftigt, und leider ist das gar nicht so simpel zu lösen. Die OpenSSL-Version, die euer Discourse benutzt, erlaubt keine kleineren DH-Keys mehr. Der Dovecot (nicht der Postfix, danach hatte ich geguckt, ich dachte es ginge um Versand) den wir einsetzen (aus Ubuntu 12.04 mit ESM) kann aber keine eigenen DH-Keys. Das ist doof, sehr doof.
Mir fallen da aber zum jetzigen Zeitpunkt aber nur zwei Lösungen ein, eine davon ist möglicherweise nichts betreibbar und beide können wir nicht mal so eben ausrollen, sondern müssen sie erst ausreichend testen, bevor wir sie auf dem Live-System ausrollen. Da die Mail-Infrastruktur das wichtigste System ist können wir da nicht so schnell eine Lösung bereitstellen, wie ich es gerne hätte sondern müssen gründlich testen.
Dass die DH-Keys so nicht bleiben können ist denke ich auch klar. Es geht also weder warten noch überstürzen. Ich melde mich, sobald es dazu Fortschritte gibt. Bis dahin habe ich leider keinen Lösungsvorschlag, der nicht das Verbiegen vom Client beinhaltet, tut mir leid.
I’d say that’s so mething for Rackspace to fix. As a workaround, you should be able to edit /etc/ssl/openssl.cnf and remove the CipherString = DEFAULT@SECLEVEL=2 at the end of the file. Sidekiq should pick up the new OpenSSL settings after restarting the container.
Habe die besagte Zeile auskommentiert und nginx neu geladen, leider kein Effekt. Muss noch etwas gemacht werden?
Geht vorerst wieder…