security - Tomcat是否有默认密码套件列表

Question

我已按如下方式配置我的 Tomcat 8.5 密码套件

    <Connector
      ....
      sslEnabledProtocols="TLSv1.2" 
      ciphers="
            TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,
            TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,
            TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,
            TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA"
    ... />

同时使用 www.ssllabs.com 测试网站我在服务器支持的密码套件部分发现了奇怪的结果。名单如下:

    TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384  ....   OK
    TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384  ....   WEAK
    TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA     ....   WEAK
    TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256  ....   OK
    TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256  ....   WEAK
    TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA     ....   WEAK

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384和TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256是从哪里来的，我没有在‍server.xml中配置它们？!

它是 tomcat 中的任何默认密码套件列表吗？!

Answer 1

当您指定 ciphers 时，无论使用的加密提供程序的功能如何(例如 JSSE、OpenSSL 等)，都不会提供额外的密码。

如果您看到正在协商一组不同的密码套件，我会检查两件事:

1. 您的配置实际上正在被使用。尝试向您的 XML 配置文件添加一个语法错误，以查看 Tomcat 是否仍然启动。如果文件格式不正确，Tomcat 应该拒绝启动，确认您实际上正在更改正确的配置文件。

2. 如果您没有直接连接到 Tomcat，您可能正在与另一个网络组件协商 TLS 握手，例如终止 TLS 的反向代理。如果是这样，Tomcat 的配置无关紧要；客户端实际上是在与反向代理而不是 Tomcat 对话，因此就客户端而言，密码列表将有所不同。在这种情况下，您需要重新配置反向代理。 Tomcat 中的密码套件列表仍然很重要，因为您甚至希望在自己的网络“内部”使用安全的密码套件。