Primeiro, responda especificamente à sua pergunta;
"How can i change that to DHE_RSA or ECDHE_RSA?"
A solução mais fácil para isso é baixar o IIS Crypto e deixá-lo fazer o trabalho duro para você.
Para usar DHE_RSA ou ECDHE_RSA, você precisará reordenar as preferências do conjunto de criptografia no painel inferior esquerdo da janela IIS Crypto. Eu atualmente defino a seguinte suíte de criptografia como minha maior preferência;
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521
Você também deseja definir a ordem do restante corretamente e desativar algumas das entradas. Sugiro strongmente que você use o botão "Melhores práticas", pois ele fará isso para você. Ele também desativará o protocolo SSL3.0 e todas as outras criptografias além de 3DES e AES 128 / 256 Você precisa estar ciente de que ao fazer isso você pode causar problemas de compatibilidade com clientes muito antigos (pense no IE6 no XP e abaixo). Com a maioria dos clientes, isso não deveria ser um problema nos dias de hoje, mas algumas partes do mundo ainda usam software mais antigo como esse.
A segunda parte da minha resposta refere-se ao seu desejo de remover o aviso que a versão mais recente do Chrome está mostrando;
Your connection to website is encrypted with obsolete cryptography
Isso é mais difícil de conseguir. Mesmo depois de mudar para ECDHE_RSA ou DHE_RSA, você ainda ver o aviso. Isso ocorre porque o Chrome está considerando que o AES no modo CBC está obsoleto. A maneira de mudar isso é usar o AES no modo GCM, no entanto, para fazer isso, você precisará garantir que você tenha primeiro corrigido o servidor com o patch abaixo. Esse patch introduziu quatro novos pacotes de criptografia, dois dos quais farão o que precisamos aqui.
Before I give you the link, this comes with a health warning. This patch was pulled by Microsoft in November due to a multitude of issues. I do not yet know whether it is now considered safe to use, or under what conditions. I have been trying to find out myself (see this SF question)
Use at your own risk!
The patch is KB2992611
Uma vez instalado, agora você pode usar o IIS Crypto para colocar o seguinte conjunto de criptografia no topo da lista;
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
O Chrome ficará feliz com isso. A única desvantagem deste conjunto é que você perde as propriedades da curva elíptica associadas ao ECDHE em vez do DHE. Isso não afeta a segurança, mas afeta o desempenho do servidor e do cliente durante a troca de chaves. Você precisará avaliar se esse trade-off vale a pena para seu caso de uso específico.
Finalmente , também é possível conseguir isso usando um dos pacotes de criptografia que combinam o AES GCM com o ECDHE / ECDSA, por exemplo
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521
No entanto, isso só funcionará se você tiver obtido um certificado SSL que use o ECDSA para gerar sua chave pública / privada em vez de RSA. Estes ainda são relativamente raros (leia-se: caro) e podem causar problemas de compatibilidade com o cliente. Eu mesmo não experimentei essa opção e, portanto, não posso falar com nenhuma autoridade sobre ela.
Finalmente, finalmente (realmente, finalmente). Depois de todos os itens acima, eu realmente não me preocuparia com isso. Eu vou continuar usando CBC AES em minhas caixas do IIS para o futuro previsível. O Chrome exibe apenas o aviso mencionado acima, se o usuário optar por clicar e observar os detalhes de TLS, não há nenhuma indicação diferente apenas observando a simbologia da barra de endereço.
Espero que ajude e peça desculpas pelo ensaio! ; -)