Java的弱密码套件的良好列表

ssl java encryption

2022-09-04 21:17:47

我正在运行一个需要弱密码套件黑名单的服务器。

那么以下哪项是弱的呢？http://java.sun.com/javase/6/docs/technotes/guides/security/SunProviders.html#SunJSSEProvider

答案 1

为什么需要排除坏的？为什么不只包括好的呢？

对于初学者，我会遵循NSA Suite B指南，特别是RFC 5430。

答案 2

Jetty 7.0.2 之后的版本现在包含密码套件的白名单功能。只需在您的 etc/jetty-ssl 中添加一个部分.xml如下所示：

  <Call name="addConnector">
    <Arg>
      <New class="org.eclipse.jetty.server.ssl.SslSelectChannelConnector">
        <Arg><Ref id="sslContextFactory" /></Arg>
        <Set name="Port">8443</Set>
        <Set name="maxIdleTime">30000</Set>
        <Set name="Acceptors">2</Set>
        <Set name="AcceptQueueSize">100</Set>

        <!--you can enable cipher suites in the following section. -->
        <Set name="IncludeCipherSuites">
          <Array type="java.lang.String">
            <Item>TLS_DHE_RSA_WITH_AES_128_CBC_SHA</Item>
            <Item>SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA</Item>
            <Item>TLS_RSA_WITH_AES_128_CBC_SHA</Item>
            <Item>SSL_RSA_WITH_3DES_EDE_CBC_SHA</Item>

            <Item>TLS_DHE_DSS_WITH_AES_128_CBC_SHA</Item>
            <Item>SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA</Item>
          </Array>
        </Set>
      </New>
    </Arg>
  </Call>

这样做将自动将本节中未列出的任何密码套件列入黑名单。