Ich betreibe einen Server, der eine Blacklist mit schwachen Cipher Suites benötigt.Gute Liste der schwachen Cipher-Suites für Java
Also welche der folgenden sind schwach? http://java.sun.com/javase/6/docs/technotes/guides/security/SunProviders.html#SunJSSEProvider
Warum müssen Sie die schlechten ausschließen? Warum nicht nur die Guten einbeziehen?
Für den Anfang würde ich die NSA Suite B Richtlinien folgen, speziell RFC 5430
@John Smith: Ich stimme Kevin hier zu. Deaktivieren Sie für alles, was mit Sicherheit zu tun hat, standardmäßig alles und geben Sie dann die weiße Liste ein, die Sie zulassen möchten. Das ist, wie gut Firewall auch konfiguriert wird: leugnen Sie alles standardmäßig, "whitelist" autorisierten Verkehr. – SyntaxT3rr0r
Jetty verwendet eine schwarze Liste bis zur Version 6.1.21, also bleibe ich jetzt lol –
@John Wir umgehen das, indem wir die Methode SslSocketConnector # createFactory() überschreiben, um eine vorkonfigurierte SSLServerSocketFactory bereitzustellen, die Sockets mit dem richtigen erzeugt Cipher Suites aktiviert auf ihnen. – Kevin
Ziemlich sicher, dass Jetty schwarze Liste ist.
Sowieso mein Problem gelöst ist. Danke
Die Versionen after 7.0.2 von Jetty enthalten jetzt eine Whitelist-Funktion für Cipher Suites. Fügen Sie einfach einen Abschnitt zu Ihrer etc/Anlegestelle-ssl.xml wie folgt aus:
<Call name="addConnector">
<Arg>
<New class="org.eclipse.jetty.server.ssl.SslSelectChannelConnector">
<Arg><Ref id="sslContextFactory" /></Arg>
<Set name="Port">8443</Set>
<Set name="maxIdleTime">30000</Set>
<Set name="Acceptors">2</Set>
<Set name="AcceptQueueSize">100</Set>
<!--you can enable cipher suites in the following section. -->
<Set name="IncludeCipherSuites">
<Array type="java.lang.String">
<Item>TLS_DHE_RSA_WITH_AES_128_CBC_SHA</Item>
<Item>SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA</Item>
<Item>TLS_RSA_WITH_AES_128_CBC_SHA</Item>
<Item>SSL_RSA_WITH_3DES_EDE_CBC_SHA</Item>
<Item>TLS_DHE_DSS_WITH_AES_128_CBC_SHA</Item>
<Item>SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA</Item>
</Array>
</Set>
</New>
</Arg>
</Call>
Dadurch wird keine Chiffriersätze automatisch schwarze Liste, die nicht in diesem Abschnitt aufgeführt sind.
Die Unterstützung der Elliptischen Kurve in Java ist extrem schwierig. RSA, Diffie-Hellman und Triple-DES sind nicht "schwach", sie sind einfach nicht "die Besten". – erickson