指定tls握手的密码套件

Question

在我的需求规格中写着：

支持这些安全框架的TLS实现应至少实现以下密码组：TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256

Java说它在Java7的TLSv1.2中提供了这个密码套件的实现。

我不熟悉安全，所以不知道如何使用它。

在我的客户端，我使用：

sslcontext = SSLContexts.custom()
                    .loadTrustMaterial(..)
                   .loadKeyMaterial(..)
                   .useProtocol("TLSv1.2")
                    .build();

我从谷歌那里学到的是，客户端为服务器提供了一系列选项，服务器需要选择其中之一。如果我错了，请纠正我。

现在我想在服务器端指定它，我不知道该怎么办，如果我使用安全连接器的码头：

<Call name="addConnector">
     <Arg>
       <New class="org.eclipse.jetty.server.ssl.SslSelectChannelConnector">
         <Arg>
           <New class="org.eclipse.jetty.http.ssl.SslContextFactory">
             <Set name="KeyStore">./etc/keystores/server.jks</Set>
             <Set name="KeyStorePassword">password</Set>
             <Set name="KeyManagerPassword">password</Set>
             <Set name="TrustStore">./etc/keystores/trust_store.jks</Set>
             <Set name="TrustStorePassword">password</Set>
             <Set name="wantClientAuth">true</Set>
             <Set name="needClientAuth">true</Set>
           </New>
         </Arg>
         <Set name="port">8443</Set>
         <Set name="maxIdleTime">30000</Set>
       </New>
     </Arg>
</Call> 

它工作，

如果我添加以下内容，将启用TLSv1。1:

<Set name="excludeProtocols">
      <Array type="java.lang.String">
        <Item>SSLv3</Item>
        <Item>TLSv1.2</Item>
        <Item>TLSv1</Item>
        <Item>SSLv2Hello</Item>
      </Array>
     </Set>

它将给出错误：

执行requestGEThttps://localhost:8443/线程“main”javax中的HTTP/1.1异常。网ssl。SSLHandshakeException:服务器选择了TLSv1。1，但客户端未启用或不支持该协议版本。

但如果我只允许TLSv1。2、它运行：

<Set name="excludeProtocols">
          <Array type="java.lang.String">
            <Item>SSLv3</Item>
            <Item>TLSv1.1</Item>
            <Item>TLSv1</Item>
            <Item>SSLv2Hello</Item>
          </Array>
         </Set>

但是在这里，如果我指定协议和ciphersuite规范：

 <Set name="IncludeCipherSuites">
    <Array type="java.lang.String">
      <Item>TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256</Item>
    </Array>
  </Set>

我得到以下例外：

线程"main"javax.net.ssl.SSLHandshakeExc0019：远程主机在握手期间关闭连接sun.security.ssl.SSLSocketImpl.read记录（SSLSocketImpl.java:912）sun.security.ssl.SSLSocketImpl.perform初始握手（SSLSocketImpl.java:1294）在sun.security.ssl.SSLSocketImpl.start握手（SSLSocketImpl.java:1321）在sun.security.ssl.SSLSocketImpl.start握手（SSLSocketImpl.java:1305）在org.apache.http.conn.ssl.SSLConnectionSocketFactory.createLayeredSocket（SSLConnectionSocketFactory.java:394）在org.apache.http.conn.ssl.SSLConnectionSocketFactory.connectSocket（SSLConnectionSocketFactory.java:353）在org.apache.http.impl.conn.DefaultHttpClientConnection操作员。PoolingHttpClientConnectionManager. Connect（PoolingHttpClientConnectionManager. java： 353），网址为org. apache. http. imp. exchain。在org. apache. http. implified. exec上建立路由（Main ClientExec. java： 380）。在org. apache. http. imp. exc.执行（Main ClientExec. java： 236）。在org. apache. http. imp. exchain中执行（原型执行. java： 184）。执行（RetryExec. java： 88）在org. apache. http. imp. exchain。执行（ReDirectExec. java： 110）在org. apache. http. imp. client.InternalHttpClient. doExecute（InternalHttpClient. java： 184）at org. apache. http. pp. client.执行（CloseableHttpClient. java： 82）在org. apache. http. imp. client.在客户端执行（CloseableHttpClient. java： 107）。ClientCustomSSL. main（ClientCustomSSL. java： 69）引起：java. io.在sun. security. ssl错误地关闭SSL对等点。在sun. security. ssl上读取（InputRecord. java： 352）。SSLSocketImp. readRecords（SSLSocketInp. java： 893）...16 more

我尝试的下一件事是在客户端使用factory：

SSLConnectionSocketFactory factory=new SSLConnectionSocketFactory(sslcontext, new String[]{"TLSv1.2"},sslcontext.getDefaultSSLParameters().getCipherSuites(), SSLConnectionSocketFactory.getDefaultHostnameVerifier());

我已经在屏幕上打印了这些密码套件。

sslcontext.getDefaultSSLParameters().getCipherSuites()

然后我排除了所有的密码套件，除了“TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256”，它给了我错误

<Set name="ExcludeCipherSuites">
        <Array type="java.lang.String">
           <Item>...</Item>

                  <!--
            <Item>TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256</Item>
              -->
            </Array>
      </Set>

但如果我排除了除“TLS_RSA_WITH_AES_128_CBC_SHA256”之外的所有选项，它就起作用了。

<Set name="ExcludeCipherSuites">
        <Array type="java.lang.String">
          <Item>...</Item>
          <!--
            <Item>TLS_RSA_WITH_AES_128_CBC_SHA256</Item>
             -->
                </Array>
      </Set>

这意味着一些密码套件由jetty支持，而另一些则不支持。

是这样吗？，我们有这样的清单吗。或者有没有其他方法可以做到这一点。请导游。我想用这个密码套件来握手，但我不知道怎么做。

Answer 1

在进一步的研究中，我知道这可能是因为用于创建证书的密钥算法。

我在keytool中使用RSA作为keyalg创建证书，它不支持TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256，但它支持TLS_RSA_WITH_AES_128_CBC_SHA256。

所以，我使用EC作为关键字，支持TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256