使用wireshark对HTTPS解密的实践（四）--tomcat安全配置

tomcat安全配置

Tomcat配置加密协议和加密套件方法：

(1)编辑配置文件$CATALINA_HOME/conf/server.xml 

(2)找到指定的连接器进行配置，例如：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"

            …

               />

(3)在连接器内配置下面的加密协议：

sslEnabledProtocols="TLSv1,TLSv1.1,TLSv1.2"

(4)在连接器内配置下面加密套件：

ciphers="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA,TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WITH_3DES_EDE_CBC_SHA,SSL_RSA_WITH_3DES_EDE_CBC_SHA"

(5)保存配置文件，重启Tomcat服务即可。

以上配置支持的加密协议和加密套件如下：

 

加密协议

优先使用顺序TLSv1.2，TLSv1.1,TLS1.0。其中TLS1.0也被认为是不安全协议，也建议不使用。

加密套件：

Kx:密钥交换算法，优先使用顺序：ECDHE（支持正向安全，2048位,防止中间人攻击）,DHE,RSA(无法防止中间人攻击)，不要使用1024位的DH。

Au:认证算法，优先使用RSA， ECDSA

Enc:对称加密算法，优先使用AES_256_GCM，AES_128_GCM，AES_256_CBC，AES_128_CBC，3DES_EDE_CBC

Mac:散列算法，优先使用顺序SHA_256，SHA1

 

注意：JDK1.6版本不支持TLSv1.2和TLv1.1版本。