ssl - 为 Jetty 配置 SSL 密码套件

Question

我正在尝试为我的应用程序中的嵌入式 jetty 服务器设置允许的 ssl 密码套件。如果我在运行 sslscan 时出于某种原因只在 xml 文件设置中使用 SslContextFactory 的 IncludeCipherSuites 设置，它只会列出 TLSv1.2 的密码，而不是 TLSv1.1 或 TLSv1.0。我需要能够让 jetty 使用所有三个 TLS 版本。无论如何我可以为 Jetty 设置 IncludeCipherSuites 以便我可以正确设置列表。

Answer 1

Jetty 9.3.8 禁用了 SLOTH 易受攻击的密码，这些密码会阻止使用最新版本的 Chrome 进行正确加密(如果您重新启用 SLOTH 易受攻击的密码，您将看到 a broken padlock icon in Chrome)。

您需要设置一个 ${jetty.base}/etc/tweak-ssl.xml 并在您的 ${jetty.base}/start.ini

Note: you should be using a split ${jetty.home} and ${jetty.base} directory structure and not modifying the ${jetty.home} contents

记录在此处:https://www.eclipse.org/jetty/documentation/current/configuring-ssl.html#configuring-sslcontextfactory-cipherSuites

至于使用什么配置，由你决定。

知道排除胜过包含。如果密码套件被排除，则在包含列表中添加它不会启用它。

Also be aware, that the JVM itself is also disabling various old protocols and cipher suites, following the same guidelines and updated specs that Jetty is with regards to security. In the near future you'll have to also re-enable those ciphers and protocols at the JVM level.