java - java 中的嵌入式 jetty 9.4 不支持 DSA 密码套件

Question

我使用的是最新的jetty和jdk，它应该支持像TLS_DHE_DSS这样的DSA密码套件......所以我用DSA算法生成了一个证书文件和 key 对，将其上传到我的服务器，然后重新启动我的服务器，服务器启动成功。但此后，我无法使用任何浏览器打开该服务器的任何页面。我在页面上看到的只是一条错误消息:ERR_SSL_VERSION_OR_CIPHER_MISMATCH。

有人可以帮我解决这个问题吗？ DSA 的 jetty 有问题吗？

Answer 1

向 stackoverflow 和 github issues 发送垃圾邮件是没有意义的。 (我们两者都关注)

就 key 工具/ keystore 中的 DSA 而言，您不能将其用于 SSL/TLS(Jetty、Java 甚至各种 SSL/TLS 协议(protocol)版本本身都不支持。DSA 只是一种签名/验证算法，它不支持 SSL/TLS 所需的加密/解密/ key 交换)。

使用 RSA 作为 keystore ，并指定 SHA256 算法(或更高)和 4096(或更好)的位大小。

转储您的启动并查看为什么您感兴趣的密码被禁用。

$ cd /path/to/my/jettybase
$ java -jar /path/to/jetty-dist/start.jar jetty.server.dumpAfterStart=true

查找SslContextFactory 树和Cipher Suites 分支。Disabled 部分将列出每个禁用的密码套件，并指示禁用该特定密码套件的位置。

你会看到...

• JreDisabled 这意味着 JVM 本身已禁用它。
• ConfigExcluded 这意味着您的 ${jetty.base} 配置已禁用它。

无论哪种方式，您都会想查看 Enabling / Disabling Specific Cipher Suites在文档中了解如何设置它以满足您的特定需求。