java - Chrome/Firefox 和 Jetty HTTPS

Question

我有一个在 Jetty 6 上运行的应用程序，它通过 HTTPS 访问。与 IE 11 连接有效，但不适用于 Firefox 43 或 Google 40。SSL 跟踪显示 Jetty 和浏览器未能找到共同的密码:

   %% Initialized:  [Session-13, SSL_NULL_WITH_NULL_NULL]
   %% Invalidated:  [Session-13, SSL_NULL_WITH_NULL_NULL]
   783842035@qtp-1833323686-4, SEND TLSv1.2 ALERT:  fatal, description = handshake_failure
   783842035@qtp-1833323686-4, WRITE: TLSv1.2 Alert, length = 2
   [Raw write]: length = 7
   0000: 15 03 03 00 02 02 28                               ......(
   783842035@qtp-1833323686-4, called closeSocket()
   783842035@qtp-1833323686-4, handling exception: javax.net.ssl.SSLHandshakeException: no cipher suites in common

但是，当使用 IE 11 时，所选密码为 TLS_DHE_DSS_WITH_AES_128_CBC_SHA256:

    %% Initialized:  [Session-30, SSL_NULL_WITH_NULL_NULL]
    %% Negotiating:  [Session-30, TLS_DHE_DSS_WITH_AES_128_CBC_SHA256]
    *** ServerHello, TLSv1.2

由于 Chrome 在连接失败时警告 RC4 密码:

A secure connection cannot be established because this site uses an >>unsupported protocol or cipher suite. This is likely to be caused when the >>server needs RC4, which is no longer considered secure.

我通过添加以下属性在 java.security 中排除了 RC4

    jdk.tls.disabledAlgorithms=RC4

但是没有用，Chrome和FF还是连接不上。我已经没有想法了。有什么建议么？ TIA。

Answer 1

Jetty 6 很久以前 EOL(生命终结)。

如果您坚持使用 Jetty 6，请知道该版本的 Jetty 中不存在您需要的 SSL/TLS 调整级别。

您要么必须坚持 JVM 级别的调整，要么编写自定义 SslSelectChannelConnector(抱歉，Jetty 7 中引入了更简单的 SslContextFactory 概念)实现您的自己完成必要的包含和排除密码和协议(protocol)，以及新的 TLS 密码排序要求，以可靠地实现这一目标。

Jetty 9.3.7.v20160115 是 almost up to date with the recent and upcoming browser changes .下一个版本(可能是 9.3.8)将进行必要的剩余调整以支持最近的浏览器更改，但仅限于 Java 8u72(或更新版本)。

另请注意，由于您在 Jetty 上启用了 SSL/TLS，因此您必须保持 Java 版本为最新，如果没有其他原因，则要跟上过去几年 SSL/TLS 的变化.