linux - 如何在不降低安全性的情况下修复 openssl 问题 "tls_process_ske_dhe:dh key too small"

Question

我知道有几个人问过同样的问题:

How to solve the "tls_process_ske_dhe:dh key too small" error

但我想真正理解为什么提出的唯一解决方案是降低安全协议(protocol)。相反，我真的很感激有人能指出我正确的方向来解决这个问题 不影响安全级别 .
我不想在 中进行此更改/etc/ssl/openssl.cnf 在生产服务器上:

MinProtocol = TLSv1
CipherString = DEFAULT@SECLEVEL=1

它尚未投入生产，但迟早会投入生产。
一点上下文:
我正在使用 Guzzle Http 在 Laravel 堆栈中使用 docker 发出 GET 请求。
如果需要让我朝着正确的方向前进，我想提供更多详细信息。
提前致谢。

Answer 1

But I want to really understand why the only solution proposed is to lower the security protocols.

这不是唯一的解决方案。最好的解决方案是修复服务器，使其一开始就不会提供弱 DH key 。
第二个最佳解决方案是禁用客户端中的所有 DH 密码，以便它不会尝试使用这些密码。当然，前提是服务器首先支持比 DH 密码更好的东西，即提供 ECDHE key 交换。这将通过简单地不向服务器提供 DH 密码来解决该问题，因此不会遇到弱 DH 问题。
当然，如果服务器以多种方式被破坏并且不提供现代密码和现代协议(protocol)以及更强大的 DH key ，那么除了使用较弱的设置之外，没有其他方法可以连接到服务器。