WLS et EM 12c : l'accès aux URL des consoles EM et Weblogic dans le navigateur renvoie l'erreur "ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY"
S'APPLIQUE À :
Oracle WebLogic Server - Version 10.3 et ultérieures
Enterprise Manager Base Platform - Version 12.1.0.1.0 et ultérieures
Les informations de ce document s'appliquent à toutes les plateformes.
SYMPTÔMES
L'accès à l'URL de la console Oracle Weblogic (https://<hostname>:port/console) dans le navigateur renvoie l'erreur suivante :
Dans le navigateur Chrome :
Server has a weak, ephemeral Diffie-Hellman public key
ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY
Dans le navigateur Firefox :
SSL received a weak ephemeral Diffie-Hellman key in Server Key Exchange handshake message.
(Error code: sl_error_weak_server_ephemeral_dh_key)
Des erreurs semblables s'affichent lors de l'accès à l'URL de la console EM par le port du serveur géré, comme ci-dessous :
https://<hostname>:<port>/em
Enterprise Manager (EM) 12c Cloud Control utilise Oracle WebLogic Server 10.3.6 : le problème se produit donc aussi dans ces environnements.
CHANGEMENTS
Mise à jour récente vers une nouvelle version du navigateur client.
CAUSE
Les normes SSL de l'industrie évoluent.
SOLUTION
Produits Oracle Fusion Middleware, dont Oracle WebLogic Server
La note suivante présente la liste des étapes à suivre pour s'adapter aux nouvelles normes SSL dans les divers produits et composants FMW :
Note 1955915.1 Échec de la négociation SSL (handshake) avec les erreurs ERR_SSL_FALLBACK_BEYOND_MINIMUM_VERSION, SSL_ERROR_NO_CYPHER_OVERLAP, ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY
Dans ce cas (accès à /em déployé sur WebLogic Server) -
Suivez le programme Critical Patch Update et appliquez les correctifs de sécurité de vos produits Oracle, dont le PSU de WLS et le JDK, afin de mettre à jour les chiffrements par défaut utilisés pour le traitement SSL. Pour connaître les plus récents, consultez la Note 551453.1, "Comment trouver les bons correctifs Critical Patch Update pour les produits Oracle Fusion Middleware". Voici les versions cibles pour ce problème :
1) Une nouvelle version du JDK est nécessaire pour assurer la compatibilité avec le nouveau navigateur client et retirer le chiffrement DHE_EXPORT, activé sur le serveur et rejeté par le client. Consultez la Note 1492980.1, "Comment installer et maintenir le Java SE installé ou utilisé avec les produits FMW 11g/12c"
Remarque : comme les chiffrements offerts à Oracle WebLogic Server sont déterminés par le JDK utilisé, le JDK 1.7.0_40 et le JDK 1.6.0_101 ou ultérieur apportent la correction lors de l'accès à /em. Le nouveau JDK a été publié dans le cadre du Critical Patch Update d'octobre 2015. Si vous utilisez actuellement le JDK 6, il est recommandé de rester sur le JDK 6 (en le mettant à jour vers le JDK 1.6.0_101 ou ultérieur) jusqu'à ce que vous ayez confirmé la certification et testé vos applications avec le JDK 7. Selon les autres erreurs rencontrées, vous devrez peut-être convertir vos certificats pour utiliser une taille de clé supérieure à 1024.
2) Appliquez le dernier PSU de WLS 10.3.6. Il a été démontré que l'application de la version 10.3.6.0.13 (Patch 21984589) ou ultérieure résout aussi ce problème.
Environnements Enterprise Manager (EM) 12c Cloud Control et Grid Control
Mise à jour du 27 juin 2016 :
La mise à jour du JDK est la principale solution à ce problème : elle permet d'utiliser des valeurs par défaut plus récentes lors du traitement des requêtes https sur Oracle WebLogic Server. Le dernier PSU de WLS doit aussi être appliqué pour la compatibilité et pour couvrir toutes les vulnérabilités connues, corrigées et applicables. Le document ci-dessous explique comment mettre à jour le JDK et effectuer les autres mises à jour requises entre les composants intégrés. Cette procédure est maintenant certifiée par l'équipe AQ/développement d'EM :
Note 2105187.1 Instructions pour utiliser le JDK 1.6 update 111 avec EM 12.1.0.5
Le problème suivant, indépendant de la mise à jour du JDK, provoque la même erreur dans le navigateur :
Note 1510058.1 Régénérer le certificat d'identité de démonstration OEM-WLS avec une clé de 1024 bits (par exemple pour corriger l'erreur "ssl_error_weak_server_cert_key")