java - 即使在连接器中配置密码时，Tomcat Apache Web 服务器仍然使用中等强度(<112 位)的密码

Question

我们已经在 Apache Tomcat 6.0.20 的 8443 端口配置了 SSL。

我们有可靠的 Nessus 工具来扫描漏洞。它报告网络服务器有一个“支持中等强度的密码”。

我们浏览了 Tomcat 文档。我们可以在 connector 元素的 ciphers 属性中配置密码列表。

我们从 IBMJSSE2 Security Provider 配置为密码列表

例如:SSL_DHE_RSA_WITH_AES_128_CBC_SHA

但是，仍然会列出相同的漏洞，并且不会在“Server Hello”SSL 消息中选择上述密码。相反，它仅选择中级密码“TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA”。

我们知道为什么会出现这种行为吗？

一些额外的细节:

Tomcat 版本:6.0.20Java版本:J2RE 1.6.0 IBM J9 2.4 AIX ppc-32 jvmap3260sr4ifx-20090409_33254

Java6 支持的 JSSE 密码列表的 IBM 文档

https://www.ibm.com/support/knowledgecenter/en/SSYKE2_6.0.0/com.ibm.java.security.component.60.doc/security-component/jsse2Docs/ciphersuites.html

关于如何配置 SSL 的 Apache Tomcat 6.0 文档 https://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html

server.xml ssl 设置

<Connector port="8443" minSpareThreads="5" maxSpareThreads="75" enableLookups="true" disableUploadTimeout="true" acceptCount="100" maxThreads="200" scheme="https" secure="true" SSLEnabled="true" ciphers="TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHS_RSA_WITH_A‌​ES_256_CBC_SHA,SSL_R‌​SA_WITH_3DES_EDE_CBC‌​_SHA,SSL_DHE_DSS_WIT‌​H_3DES_EDE_CBC_SHA" >

New, TLSv1/SSLv3, Cipher is EDH-RSA-DES-CBC3-SHA
Server public key is 1024 bit
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : EDH-RSA-DES-CBC3-SHA
    Session-ID: 58B59B0B19255900580A16786D9F040BE19D236A6C16B1A53C281E6DDE072BDF
    Session-ID-ctx:
    Master-Key: F037145E80507808391326B77F3A175015FAD3C356FDD350ADC8FA69FCB7CEDC0443F3AF10BDA71544806F010D1B3A7C
    Key-Arg   : None
    Start Time: 1488296715
    Timeout   : 300 (sec)
    Verify return code: 18 (self signed certificate)

Answer 1

您需要更新 tomcat SSL 设置以将 sslProtocol 从 SSL 更新为 TLS(默认)

对于 tomcat 版本 < 6.0.38

sslProtocols="TLSv1,TLSv1.1,TLSv1.2"

对于 tomcat 版本 >= 6.0.38

sslEnabledProtocols="TLSv1,TLSv1.1,TLSv1.2"

阅读更多 here

附加步骤:

在您的 JVM 中下载并更新 JCE 策略 jar，因为 tomcat 引用密码套件的 JCE