Fehler: imap-login: Error: Failed to initialize SSL server context: Can’t load DH parameters: error:1408518A:SSL routines:ssl3_ctx_ctrl:dh key too small – Nach einen Upgrade von Debian 9 auf Debian 10 Buster funktioniert die Anmeldung an dem Dovecot IMAP Server nicht mehr.

Verfasst von

Nach dem Update von Debian Stretch auf Debian Buster, bei dem auch der IMAP Server Dovecot auf die Version 2.3.4.1 aktualisiert wurde, funktioniert die Authentifizierung nicht mehr. Bei Login-Versuchen sieht man in der Logdatei /var/log/dovecot.log folgende Fehlermeldung:

imap-login: Error: Failed to initialize SSL server context: Can’t load DH parameters: error:1408518A:SSL routines:ssl3_ctx_ctrl:dh key too small

Bei einer Webrecherche ergaben sich schnell einige Fundstellen zu dem Problem:

In der Upgradedoku von Dovecot Version v2.2 to v2.3 wird darauf hingewiesen dass man eine neue Einstellung ssl_dh der Dovecot Config hinzufügen muss.

ssl-parameters.dat file is now obsolete. You should use ssl_dh setting instead: ssl_dh=</etc/dovecot/dh.pem

Lösungsschritte:

Erzeugen einer Datei dh.pem für die Diffie-Hellman Parameter
- openssl dhparam -out /etc/dovecot/dh.pem 4096
  - Hinweis: Die Ausführung des Befehls kann durchaus mehrere Minuten dauern.
Ändern der Dovecot Config
- Bearbeiten der Datei /etc/dovecot/dovecot.conf
- Hinzufügen folgender Zeile am Ende der Datei:
  - ssl_dh=</etc/dovecot/dh.pem
Neustart des Dovecot Service

Danach funktionierte die Authentifizierung mit Dovecot wieder wie vorher.

Debian Buster Dovecot

Kommentare

22 Antworten zu „Fehler: imap-login: Error: Failed to initialize SSL server context: Can’t load DH parameters: error:1408518A:SSL routines:ssl3_ctx_ctrl:dh key too small – Nach einen Upgrade von Debian 9 auf Debian 10 Buster funktioniert die Anmeldung an dem Dovecot IMAP Server nicht mehr.“

29. Januar 2020

Peter

kurz, knapp, zielführend

Danke!
29. Juli 2020

Michael

Vielen dank, hat mir sehr geholfen!
29. Juli 2020

John

Großartig! Danke!
7. September 2020

Skaysurfer

2 x Daumenhoch!
29. November 2020

Christian

Danke!!!
1. Dezember 2020

Frank Gruemmert

3 daumen hoch
2. Dezember 2020

Ralf

Fantastisch, danke.

Bei mir steht die Konfiguration in /etc/dovecot/conf.d/10-ssl.conf

Habe da noch ssl_dh_parameters_length=4096 gesetzt, weiß aber nicht, ob das sein muss und Auswirkungen hat.
12. Januar 2021

tom

Clap!!! Great.
21. Februar 2021

Holger Peters

Danke! hat 1a geklappt
3. März 2021

Thorsten

Super Anleitung. Vielen Dank für die schnelle Hilfe!
21. März 2021

AndyBuzzard

Dankeschön fürs Teilen! hat mir einiges an Zeit erspart 😀
14. April 2021

Update auf Ubuntu 20.04 mit plesk – Sven Nissel

[…] https://www.mediamill.de/blog/2020/01/12/nach-einen-upgrade-von-debian-9-auf-debisn-10-buster-funkti… […]
1. Juli 2021

Patrick

Auch noch ein Dankeschön von mir. 🙂
Die Anweisung aus mail.log hat es nicht getan
Jul 1 06:40:02 r3 dovecot: config: Warning: please set ssl_dh= /etc/dovecot/dh.pem

Ich glaube, der Schlüssel war zu kurz
4. August 2021

Uwe

1. Treffer in Google, wenn man nach „Failed to initialize SSL server context: Can’t load DH parameters“ sucht. Super! wenn es auch Ubuntu in meinem Fall war(möglicherweise stammt das Paket aus Debian) aber läuft jetzt wieder. Danke!
31. Dezember 2022

Armin

Danke kann heute auch Silvester Feiern 🙂
7. Januar 2023

Steffen Mutter

Nunja, so ein apt ful-upgrade (in meinem Fall) von Stretch zu Buster ist schon so ein Ding. Das war der erste Fehler nach dem Upgrade, in den ich rein gerannt bin. Es werden noch viele weiterefolgen, fürchte ich.
Vielen Dank für die Anleitung, dieses Kommando läuft aber echt stundenlang, um einen Schlüssel zu erstellen. 4096 bit ist aber auch ein bisschen krass, aber was soll’s.
22. März 2023

Juan

Ich musste gemäß https://doc.dovecot.org/installation_guide/upgrading/from-2.2-to-2.3/ zusätzlich noch /var/lib/dovecot/ssl-parameters.dat umbenennen (ggfs. löschen). Dann ging es endlich auch mit Dovecot 2.3.4.1
22. April 2023

Boris

Thank you so much!
Setting „-dsaparam“ will accelerate the key generation:
openssl dhparam -dsaparam -out dh.pem 4096
(see: https://security.stackexchange.com/a/95184)
15. Mai 2023

Christian

1000 Dank! Hab’s bei google gefunden nachdem ich stumpf stretch auf buster gezogen habe – hast mir zig Stunden Arbeit und Frustration erspart!
21. Mai 2023

Renato

Klappt tadellos! Herzlichen Dank für die Mühe!
29. Juni 2023

Frank

Perfekt! Problem in 5 Minuten gelöst!
DANKE! DANKE! DANKE!
27. Juli 2023

Andreas

Vielen vielen Dank für diese tolle Anleitung. Hatte schon Schweißperlen auf der Stirn. Das hat viel Frust erspart.