Sto eseguendo un server che richiede una lista nera di suite di crittografia deboli.Buona lista di suite di crittografia deboli per Java
Quindi quali dei seguenti sono deboli? http://java.sun.com/javase/6/docs/technotes/guides/security/SunProviders.html#SunJSSEProvider
Perché è necessario escludere i cattivi? Perché non includere solo quelli buoni?
Per cominciare, mi piacerebbe seguire le linee guida NSA Suite B, specificamente RFC 5430
@John Smith: sono d'accordo con Kevin qui. Per tutto ciò che riguarda la sicurezza, disabilitare tutto per impostazione predefinita e quindi autorizzare ciò che si desidera autorizzare. Ecco come è configurato anche un buon firewall: negare tutto per impostazione predefinita, il traffico autorizzato "whitelist". – SyntaxT3rr0r
Jetty utilizza una lista nera fino alla versione 6.1.21 quindi sono bloccato per ora lol –
@John Ci aggiriamo sostituendo il metodo SslSocketConnector # createFactory() per fornire un SSLServerSocketFactory preconfigurato che creerà socket con la corretta suite di crittografia abilitate su di loro. – Kevin
Abbastanza sicuro Jetty è lista nera.
In ogni modo il mio problema è risolto. Grazie
Le versioni after 7.0.2 di Jetty ora includono una funzione di whitelist per le suite di crittografia. Basta aggiungere una sezione al vostro etc/pontile-ssl.xml simile al seguente:
<Call name="addConnector">
<Arg>
<New class="org.eclipse.jetty.server.ssl.SslSelectChannelConnector">
<Arg><Ref id="sslContextFactory" /></Arg>
<Set name="Port">8443</Set>
<Set name="maxIdleTime">30000</Set>
<Set name="Acceptors">2</Set>
<Set name="AcceptQueueSize">100</Set>
<!--you can enable cipher suites in the following section. -->
<Set name="IncludeCipherSuites">
<Array type="java.lang.String">
<Item>TLS_DHE_RSA_WITH_AES_128_CBC_SHA</Item>
<Item>SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA</Item>
<Item>TLS_RSA_WITH_AES_128_CBC_SHA</Item>
<Item>SSL_RSA_WITH_3DES_EDE_CBC_SHA</Item>
<Item>TLS_DHE_DSS_WITH_AES_128_CBC_SHA</Item>
<Item>SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA</Item>
</Array>
</Set>
</New>
</Arg>
</Call>
In questo modo verrà automaticamente lista nera eventuali pacchetti di crittografia che non sono elencati in questa sezione.
La curva ellittica di supporto in Java è estremamente difficile. RSA, Diffie-Hellman e Triple-DES non sono "deboli", semplicemente non sono "i migliori". – erickson