在嵌入式Jetty上启用TLS-1.2

Question

目前我正在使用启用TLS 1.2的代码：

ServerConnector httpsConnector = new ServerConnector(server, 
       new SslConnectionFactory(sslContextFactory, "http/1.1"),
       new HttpConnectionFactory(https_config));
httpsConnector.setPort(8443);
httpsConnector.setIdleTimeout(50000)

现在我正在使用TLS 1.1，并希望将其更改为TLS 1.2。

Answer 1

是的，我刚才解决了这个问题
我们可以通过org.eclipse.jetty.util.ssl自定义它。SslContextFactory如下：

< li >不包括TLSv1、TLSv1.1协议等。

sslContextFactory.addExcludeProtocols("TLSv1", "TLSv1.1");

顺便说一句，我的jetty版本是9.4.45，默认协议（“SSL”、“SSLv2”、“SSLv2Hello”、“SS Lv3”）已经被jetty排除在外。

java prettyprint-override">// org.eclipse.jetty.util.ssl.SslContextFactory#DEFAULT_EXCLUDED_PROTOCOLS
private static final String[] DEFAULT_EXCLUDED_PROTOCOLS = {"SSL", "SSLv2", "SSLv2Hello", "SSLv3"};

    sslContextFactory.setIncludeProtocols("TLSv1.2");

选择的最终协议可以在方法org.eclipse.jetty.util.ssl.SslContextFactory#selectProtocols中看到，你可以自己调试。

Answer 2

Java 8默认是TLS/1.2。

• https://blogs.oracle.com/java-platform-group/entry/java_8_will_use_tls

您可以使用以下技术在JVM中诊断TLS：

• https://blogs.oracle.com/java-platform-group/entry/diagnosing_tls_ssl_and_https

如果要强制TLS/1.2，请参阅前面的答案：

如何强制java服务器只接受tls 1.2，拒绝tls 1.0和tls 1.1连接

要知道，您在Jetty的SslContextWorks中公开的密码和协议也会对您的TLS支持级别产生影响。（例如：您可以排除TLS/1.0知道的没有留下可协商的密码的密码）