Pelo que entendi, o problema é que a sua atualização do OpenSSL tornou você intolerante a comprimentos curtos de chaves DH outros , a fim de proteja a conversa contra o ataque do Logjam . É por isso que aumentar o comprimento da chave your DH ( openssl dhparam ... , etc.) não ajudou em nada, enquanto desativava o TLS.
Obviamente, o que todos nós gostaríamos é de um sinalizador para o OpenSSL como --I'd-rather-my-mail-got-encrypted-even-if-the-NSA-are-reading-it-on-the-fly-so-just-shut-up-about-short-DH-keys-already . Infelizmente, este comportamento parece ser compilado no OpenSSL, os desenvolvedores não escolheram suportar um sinalizador como o que eu sugiro, e o sendmail parece não ter compilado nele a capacidade de desmarcar os ciphersuites que acionam esse comportamento.
Isso também significa que a solução de longo prazo é para os administradores do servidor de e-mail outros atualizarem o comprimento da chave DH. Você pode desativar o uso de TLS por domínio, com access map entries como
Try_TLS:mail.example.com NO
(com agradecimentos a novosial.org por essa ideia) se você puder identificar pares específicos com os quais você troca muitos e-mails e cujos administradores demoram a responder. Mas, até onde eu sei, se o seu servidor é (como o meu) um daqueles que de repente ficou exigente com os parâmetros de criptografia de outras pessoas, sua capacidade de consertar isso é limitada.