即使在连接器中配置密码，Tomcat Apache Web Server仍然使用中等强度（

Question

我们已经在8443端口#的Apache Tomcat 6.0.20中配置了SSL。

我们有一个可以扫描漏洞的Nessus工具。据报道，该网络服务器“支持中等强度密码”。

我们查阅了Tomcat文档。我们可以在connector元素的ciphers属性中配置密码列表。

我们从IBMJSSE2安全提供程序中配置了密码列表

对于ex：SSL_DHE_RSA_WITH_AES_128_CBC_SHA

但是，仍然列出了相同的漏洞，并且在“服务器Hello”SSL消息中没有选择上述密码。相反，它只选择了一个中级密码“TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA”。

我们知道为什么会有这种行为吗？

一些额外的细节：

Tomcat版本：6.0.20 Java版本：J2RE 1.6.0 IBM J9 2.4 AIX ppc-32 jvmap3260sr4ifx-20090409_33254

IBM留档Java6支持的JSSE密码列表

https://www.ibm.com/support/knowledgecenter/en/SSYKE2_6.0.0/com.ibm.java.security.component.60.doc/security-component/jsse2Docs/ciphersuites.html

Apache Tomcat 6.0关于如何配置SSLhttps://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html的文档

服务器xml ssl设置

<Connector port="8443" minSpareThreads="5" maxSpareThreads="75" enableLookups="true" disableUploadTimeout="true" acceptCount="100" maxThreads="200" scheme="https" secure="true" SSLEnabled="true" ciphers="TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHS_RSA_WITH_A‌​ES_256_CBC_SHA,SSL_R‌​SA_WITH_3DES_EDE_CBC‌​_SHA,SSL_DHE_DSS_WIT‌​H_3DES_EDE_CBC_SHA" >

New, TLSv1/SSLv3, Cipher is EDH-RSA-DES-CBC3-SHA
Server public key is 1024 bit
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : EDH-RSA-DES-CBC3-SHA
    Session-ID: 58B59B0B19255900580A16786D9F040BE19D236A6C16B1A53C281E6DDE072BDF
    Session-ID-ctx:
    Master-Key: F037145E80507808391326B77F3A175015FAD3C356FDD350ADC8FA69FCB7CEDC0443F3AF10BDA71544806F010D1B3A7C
    Key-Arg   : None
    Start Time: 1488296715
    Timeout   : 300 (sec)
    Verify return code: 18 (self signed certificate)

Answer 1

您需要更新tomcat SSL设置以将sslProtocol从SSL更新为TLS（默认）

对于tomcat版本

sslProtocols="TLSv1,TLSv1.1,TLSv1.2"

对于tomcat版本

sslEnabledProtocols="TLSv1,TLSv1.1,TLSv1.2"

在这里阅读更多

其他步骤：

在JVM中下载并更新JCE策略罐，因为tomcat指的是密码套件的JCE