Could not generate DH keypair

퍼온글 : http://home.zany.kr:9003/board/bView.asp?bCode=52299899&aCode=14068

JDK 1.7.0_67 환경에서
Spring RestTemplate (org.springframework.web.client) 을 사용하여
(또는 Apache HttpClient 와 같은 Http 클라이언드 라이브러리 등...)
https 서버에 Rest Call 할 때 아래와 같은 오류 발생.

Caused by: java.lang.RuntimeException: Could not generate DH keypair
Caused by: java.security.InvalidAlgorithmParameterException: Prime size must be multiple of 64, and can only range from 512 to 1024 (inclusive)

이 문제와 관련하여 이미 스택오버플로우에서 많은 이야기가 오갔는데,
http://stackoverflow.com/questions/6851461/java-why-does-ssl-handshake-give-could-not-generate-dh-keypair-exception

문제의 원인은 prime size 이며, Java 에서 허용하는 최대치는 1024 bits 라고 한다.
이미 JDK-6521495 : Lift 1024-bit long prime restriction on Diffie-Hellman 를 통해 알려져 있는 이슈이며,
http://bugs.java.com/bugdatabase/view_bug.do?bug_id=6521495

이 버그에 대한 대안으로 Bouncy Castle JCE 를 사용하여 우회할 수 있는 방법을 제안하였다고 한다.
http://docs.oracle.com/cd/E19830-01/819-4712/ablsc/index.html

또한 JDK-7044060 : Need to support NSA Suite B Cryptography algorithms 에 의해 현재는 해결되었다고 한다.
http://bugs.java.com/bugdatabase/view_bug.do?bug_id=7044060
(실제로 JDK 버전으로 1.8.0_31 버전으로 테스트해보니 정상적으로 통신이 되었다)

상황이 이러하니...
bouncy castle 해법으로 접근하기 위해 (별로 그렇게 하고 싶진 않았지만...)
JDK 설정 후 시도하였으나 이번에는 java.lang.ArrayIndexOutOfBoundsException: 64 예외 발생...

그냥... 서버측 SSL DHE 기능을 끄기로 함.

● apache httpd SSL 에서 DHE (Diffie-Hellman key exchange) 비활성

서버에서 DHE (Diffie-Hellman key exchange) 를 사용하고 있는지 여부는
아래와 같이 openssl s_client 명령으로 확인 할 수 있다.

$ openssl s_client -connect my.domain.com:2443
...
...
...
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : DHE-RSA-AES256-SHA
    ...
    ...
closed

apache httpd, httpd-ssl.conf 의 SSLCipherSuite 에 아래와 같이
!DH 항목 추가시 Diffie-Hellman 키교환이 비활성화 된다.

아래 URL 에서 !ADH 는 이제 불필요하므로 제거해도 상관없다고 알려주고 있다.
https://www.ibm.com/support/knowledgecenter/en/SS2MBL_9.0.2/PCAAdmin/PCA/PCAApx/DisablingDiffie-HellmanOnApacheServers_61.html

"ALL:!DH:!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP"

apache httpd 재기동 후, openssl s_client 명령을 다시 내려보면
아래와 같이 DHE-RSA 구문이 없어진 것을 확인 할 수 있다.

$ openssl s_client -connect my.domain.com:2443
...
...
...
New, TLSv1/SSLv3, Cipher is AES256-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : AES256-SHA
    ...
    ...
closed

이제 다시 본론으로 돌아와서...
원래 Java 단에서 RestTemplate 이나 HttpClient 로 https 접근해봤더니 정상적으로 통신이 되었다.