security - 如何在 tomcat 中禁用 SSLv3？

Question

针对发现的 POOLDE 漏洞，如何在 tomcat 中禁用 SSLv3，这会对浏览器产生什么影响，所有浏览器都能工作吗？

Answer 1

在 server.xml 中使用以下配置(最后一行很重要)

       `<Connector protocol="HTTP/1.1" SSLEnabled="true" 
       port="8443" address="${jboss.bind.address}"
       scheme="https" secure="true" clientAuth="false" 
       keystoreFile="${jboss.server.home.dir}/conf/keystore.jks"
       keystorePass="rmi+ssl"
       sslProtocols = "TLS" sslEnabledProtocols="TLSv1+TLSv1.1+TLSv1.2"/>`

禁用 SSLv3 的影响

禁用 SSLv3 对大多数人来说影响不大，因为他们不依赖 SSLv3 通过 SSL/TLS 建立连接。绝大多数依赖 TLS。

将来，Google Chrome 和 FireFox 等浏览器将在发布时禁用 SSLv3。还建议在家庭浏览器上禁用 SSLv3，而不仅仅是服务器应用程序。

像 IE 6 这样的非常旧的浏览器会有问题，但我想这些浏览器无论如何也不支持最新的技术。

注意:谢谢 Christopher，已根据您的建议进行了更新。