CentOS 8.0にしたらいくつかのURLに error:141A318A:SSL routines:tls_process_ske_dhe:dh key too small でアクセスできなくなった

TL;DR

• 原因はこちらが詳しく
  • 急に外部APIとの通信が “dh key too small” で失敗するようになったのはなぜ？ - BANK tech blog
• 対策はこちらに載っていた
  • Red Hat Enterprise Linux 8 新機能をわかりやすく解説【RHEL8】 – Hacker’s High

$ sudo update-crypto-policies --set LEGACY

---

CentOS 7.xのVMを壊してしまったのでCentOS 8.xのものにお引越ししていたら

$ curl -I https://www8.cao.go.jp
curl: (35) error:141A318A:SSL routines:tls_process_ske_dhe:dh key too small

こんな風になっていくつかアクセスできないURLが。

こちらをがたぶんそのまんまで、CentOS 8.0で入ってくるのが openssl 1.1.1 だから鍵長が短いのをリジェクトしているっぽい。内閣府さん…（www.cao.go.jpの方はいけるんだけどwww8.cao.go.jpの方がダメだった…）

• 急に外部APIとの通信が “dh key too small” で失敗するようになったのはなぜ？ - BANK tech blog

$ rpm -q openssl
openssl-1.1.1-8.el8.x86_64

どうやってさまよってたどり着いたのか全く覚えていないけど、

Red Hat Enterprise Linux 8 新機能をわかりやすく解説【RHEL8】 – Hacker’s High

を眺めていたら crypt-policies というのが設定できるらしく、これをLEGACYにすれば1024ビットのDHパラメーターでも許してくれるらしい。

$ sudo update-crypto-policies --set LEGACY
Setting system policy to LEGACY
Note: System-wide crypto policies are applied on application start-up.
It is recommended to restart the system for the change of policies
to fully take place.

$ curl -I https://www8.cao.go.jp
HTTP/1.1 200 OK
Date: Tue, 24 Dec 2019 06:45:17 GMT
Server: Apache
X-Frame-Options: SAMEORIGIN
Last-Modified: Tue, 20 Nov 2018 08:06:15 GMT
ETag: "1f10-57b141b87cbc0"
Accept-Ranges: bytes
Content-Length: 7952
Cache-Control: no-store
Expires: Tue, 24 Dec 2019 06:45:17 GMT
Pragma: no-cache
Content-Type: text/html

いったー。

自己責任でどうぞ。

​