问禁用弱TLS密码套件
EN

Stack Overflow用户

提问于 2020-03-19 15:24:31

回答 1查看 3.7K关注 0票数 3

我有一个要求禁用以下弱TLS密码(128位)

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027)   ECDH secp256r1 (eq. 3072 bits RSA)   FS   WEAK 128
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)   ECDH secp256r1 (eq. 3072 bits RSA)   FS   WEAK    128
TLS_RSA_WITH_AES_128_GCM_SHA256 (0x9c)   WEAK   128
TLS_RSA_WITH_AES_128_CBC_SHA256 (0x3c)   WEAK   128
TLS_RSA_WITH_AES_128_CBC_SHA (0x2f)   WEAK  128

我的应用程序运行在由应用程序负载均衡器提供的亚马逊EC2实例中的JBOSS通配符10服务器上。我已经尝试过在standalone.xml中修改下面的更改。但这对我没什么帮助。

尽管我在standalone.xml中没有提到任何128位密码，ssllabs还是向我展示了上面的128个弱密码。我怀疑密码值是从应用程序负载均衡器级别的安全策略中获取的。我们将ELBSecurityPolicy-TLS-1-2-Ext-2018-06安全策略绑定到我们的ALB (我们应该只启用TLS1.2协议)。

既然我们不能在ALB级别自定义安全策略，那么有什么方法可以做到这一点呢？

在standalone.xml中添加了下面的配置。这是行不通的。

<https-listener name="https" socket-binding="https" no-request-timeout="300000" security-realm="CertificateRealm" enabled-protocols="TLSv1.2" enabled-cipher-suites="TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA"/>

encryption