libtls: As client, reject DH exchanges using primes smaller than 1024 bit
authorMartin Willi <martin@revosec.ch>
Wed, 20 May 2015 08:56:23 +0000 (10:56 +0200)
committerMartin Willi <martin@revosec.ch>
Tue, 26 May 2015 09:36:24 +0000 (11:36 +0200)
commit47e96391f2cb00fc16375ded2f0776573710dcc4
tree27aa2a2646975643518b1d726e3de580092c4f1a
parentdedd0ad07c6bac5c63896d89e8a61792fef21c59
libtls: As client, reject DH exchanges using primes smaller than 1024 bit

While the server signs the ephemeral DH parameters, it can be tricked to its
lowest supported DH group by a man-in-the-middle:

  https://weakdh.org/imperfect-forward-secrecy.pdf

While we at least use 2048-bit DH groups as server, the client accepts any
DH prime the server sends. If it supports export ciphers, only a 512-bit prime
may be used.

As TLS does not define nor negotiate a DH group for cipher suites, the client
actually must accept what the server offers. To avoid downgrades to weak
DH groups, we must reject what we consider insecure. We set this limit to
1024-bit primes. While this breaks compatibility with TLS servers using weaker
primes, this is what we expect servers at least use. Most browser vendors use
the same limit in a similar fix.
src/libtls/tls_peer.c