Kích hoạt TLS 1.1 và 1.2 cho Khách hàng trên Java 7

Java 7 vô hiệu hóa TLS 1.1 và 1.2 cho các máy khách. Từ Kiến trúc mã hóa Java Tài liệu của nhà cung cấp Oracle :

Mặc dù SunJSSE trong bản phát hành Java SE 7 hỗ trợ TLS 1.1 và TLS 1.2, nhưng không có phiên bản nào được bật theo mặc định cho các kết nối máy khách. Một số máy chủ không triển khai khả năng tương thích chính xác và từ chối nói chuyện với khách hàng TLS 1.1 hoặc TLS 1.2. Để có khả năng tương tác, SunJSSE không bật TLS 1.1 hoặc TLS 1.2 theo mặc định cho các kết nối máy khách.

Tôi quan tâm đến việc kích hoạt các giao thức trên cài đặt toàn hệ thống (có thể thông qua tệp cấu hình) và không phải là giải pháp cho mỗi ứng dụng Java.

Làm cách nào để tôi có thể kích hoạt hệ thống TLS 1.1 và 1.2 trên toàn hệ thống ?

Lưu ý : kể từ POODLE, tôi muốn vô hiệu hóa toàn bộ hệ thống SSLv3. .

Đây là phiên bản Java:

$ /Library/Java/JavaVirtualMachines/jdk1.7.0_07.jdk/Contents/Home/bin/java -version
java version "1.7.0_07"
Java(TM) SE Runtime Environment (build 1.7.0_07-b10)
Java HotSpot(TM) 64-Bit Server VM (build 23.3-b01, mixed mode)

Bạn chỉ có thể thêm thuộc tính sau -Dhttps.protocols=TLSv1.1,TLSv1.2để cấu hình JVM để chỉ định phiên bản giao thức TLS nào sẽ được sử dụng trong các kết nối https.

Bạn có thể thử thêm một cái gì đó như sau vào tập lệnh khởi động của mình, giả sử Java 1.7:

JAVACMD="$JAVACMD -Ddeployment.security.SSLv2Hello=false -Ddeployment.security.SSLv3=false -Ddeployment.security.TLSv1=false -D\ deployment.security.TLSv1.1=true -Ddeployment.security.TLSv1.2=true"

Một số đề xuất khác: https://bloss.oracle.com/java-pl platform-group / entry / java_8_will_use_tls

Đối với Java 7 trên Mac OS X, bạn truy cập System Preferences > Javavà Bảng điều khiển Java mở trong một cửa sổ riêng. Sau đó, bạn đi đến Advancedtab và cuộn xuống Advanced Security Settingsphần và kiểm tra Use TLS 1.1và các Use TLS 1.2hộp kiểm.

Tôi mới nghiên cứu về điều này và tôi muốn thêm - điều này sẽ không hoạt động đối với JDK, việc triển khai. Các sản phẩm chỉ liên quan đến Applet và các công cụ khác đang chạy trong JRE.

đối với các ứng dụng JDK (một máy chủ cần kết nối với LDAP chẳng hạn) máy chủ là máy khách nhưng là triển khai. Sẽ không làm việc.

không có cách nào để thay đổi nó trừ khi bạn viết một số mã như SSLContext.getInstance ("TLSv1.2");

Nó trông giống như triển khai. Bảo mật. * Cài đặt cho các chương trình Java Applet và Java Web Start chạy trên máy tính để bàn. Như những người khác đề cập ở đây, bạn có thể chỉnh sửa triển khai.properies để chỉ định điều đó.

Dưới đây là một bài viết cho thấy cách sử dụng chính sách nhóm để triển khai cùng một tệp triển khai.properations cho tất cả người dùng: http://www.darkoperator.com/blog/2013/1/12/pushing-security-configuration-for- java-7-update-10-via-gpo.html

Thật không may, không có cách nào để bật tính năng này cho tất cả các chương trình java trên máy tính gọi trực tiếp java.exe hoặc javaw.exe. Bạn phải tìm từng chương trình sử dụng java, tìm tệp cấu hình nơi bạn chỉ định các tham số để truyền cho java và thay đổi nó.

Đối với Tomcat, chúng tôi đã phải vượt qua điều này để các kết nối từ Tomcat đến các máy chủ khác sử dụng TLS 1.1+ : -Dhttps.protocols=TLSv1.1,TLSv1.2. Trên Linux, điều này có thể được thực hiện bằng cách chỉnh sửa bin/catalina.shhoặc bằng cách tạo bin/setenv.sh.

Tôi không biết những gì nó cần để làm cho Tomcat chỉ sử dụng TLS 1.2 ở phía máy chủ. Chúng tôi đứng trước với HTTP HTTP.

Nếu bạn bị mắc kẹt với Java 7, bạn có thể thêm -Djdk.tls.client.protocols=TLSv1.1,TLSv1.2vào các đối số của JVM.

Lưu ý rằng điều này có một số cảnh báo:

• Nó chỉ hợp lệ bắt đầu từ bản cập nhật Java 7 95. Tham khảo: https : //bloss.oracle.com/java-pl platform-group / dognose-tls,-ssl,-and- https
• Nó không phải là một giải pháp toàn hệ thống, mặc dù nó có thể được đặt trong một biến môi trường (ví dụ, JAVA_OPTS), trong trường hợp đó bạn phụ thuộc vào sự hỗ trợ của envvar trong các ứng dụng Java của bạn.

Mặc dù có những thiếu sót này, tôi nghĩ rằng điều này có thể hữu ích, đặc biệt là khi giao thức người ta quan tâm đến việc sử dụng TLS nhưng không phải là HTTPS, ví dụ LDAPS.

[CẬP NHẬT] Trong công ty của tôi, nơi điều hành nhóm máy chủ trên Ubuntu, chúng tôi đã nhận ra rằng ngay cả bản cập nhật 121 của OpenJDK 7 cũng không đủ để thực hiện điều này một cách chính xác. Chúng tôi đã cập nhật tất cả các máy chủ để cập nhật 181 trước khi nó hoạt động.