使用TLSv1制作Geode

Question

出于向后兼容的原因，我需要一个Geode Jetty服务器来使用TLSv1，而不是1.1或1.2

在< code>gemfire.properties中设置了< code > ssl-enabled-components = web 和< code > SSL-protocols = tlsv 1.0 后，当我启动Geode并使用SSL实验室检查HTTPS连接时，我会得到一个TLS结果:

我正在寻找TLS 1.1和TLS 1.0检查也说是而不是否

Geode SSL文档说< code >确保您的Java安装包含JSSE API，并熟悉它的使用。

JSSE 是关于 JRE/lib/security 目录中的 java.security 配置。我将其设置为不禁用任何安全算法并重新启动 Geode，但结果相同。TLS 1.1 和 1.0 未通过上述 SSL 实验室测试。

有没有办法强制Geode从＜code＞https开始。协议=TLSv1？

当我尝试使用--J=-XX：https.protocols=TLSv1启动定位器时，我得到了

错误：无法创建 Java 虚拟机。错误：发生致命异常。程序将退出。无法识别的虚拟机选项“https.protocols=TLSv1”

我找不到单独的Jetty配置...

Update--J=-Dhttps.protocols=TLSv1是将TLS协议分配给JVM的正确设置，用于启动Geode定位器和服务器。

当我设置< code > Java . security setting < code > JDK . TLS . disabled algorithms = tlsv 1.1，TLSv1.2时更新与此相反，则根本不可能通过HTTPS与Jetty服务器通信。这让我觉得Geode/Jetty < code > SSL-protocols = tlsv 1.0 设置也不适用？

Jetty配置显示默认不再支持TLS v1.0、v1.1和SSL v3。如果您的Jetty实现需要这些协议来提供旧版支持，可以手动启用它们。

有没有办法使用 Geode 配置码头？

Answer 1

我不相信你目前能做到这一点。主要是因为Jetty的内部配置方式。Jetty维护由正则表达式^.*_（MD5|SHA|SHA1）$定义的排除密码列表。不幸的是，这个列表似乎胜过任何可能被添加为“包含”的密码。下面是我用于测试的一个非常简单的Jetty示例：https://gist.github.com/jdeppe-pivotal/c0c6e7de4282bc077357749fc91bc44f.Jetty将生成一个很好的密码和协议转储，当您运行该程序时，它正在使用这些密码和协议。

目前，您可以使用以下curl执行成功的请求：curl-k-v--tlsv1.2https://localhost:8081/。现在，如果您使用＜code＞tlsv1.0＜/code＞尝试此操作，它将失败，因为所有必需的密码套件都被禁用。但是，如果取消注释行：sslContextFactory。setExcludeCipherSuites（），那么事情应该开始工作了。这样做的目的是删除所有当前排除的密码（并允许它们被使用）。不幸的是，如果你只尝试添加密码（而不排除所有内容），事情仍然不起作用。注意，通过这样做，Jetty仍然被配置为TLSv1.2（以及1.1和1.0），但客户端可以使用更低的协议版本。

底线是Geode没有明确排除Jetty中的任何密码。因此，如果您希望添加必要的密码，它们很可能不会有效。我为此打开了一个错误：https://issues.apache.org/jira/browse/GEODE-3891