Jetty降级攻击预防和其他安全风险

Question

我有一个Jetty服务器（9.2.4版本），使用SSL Labs工具进行扫描以评估漏洞。其中一个问题是“降级攻击预防：否，不支持TLS_FALLBACK_SCSV”。是否有一些设置可以打开它？

Jetty服务器是嵌入式的。

- Philippe Bertrand

Answer 1

我有同样的问题，在ServerFault上发布了帖子：

https://serverfault.com/questions/700601/jetty-9-support-for-tls-fallback-scsv

截至目前（2015年7月5日），只有一个答案，答案是Java目前尚不支持它。这里有一个相关的问题：

JDK-8061798 - 添加对TLS_FALLBACK_SCSV的支持

- Hristo

---

谢谢你的回答。在这里，对于复杂的Jetty问题，即使是获得浏览量，更别提答案了，速度都非常慢。 - Philippe Bertrand

虽然我不确定ServerFault是否是更好的提问场所，但我同意。无论如何，我在他们的“Bugzilla”https://bugs.eclipse.org/bugs/上发布问题时运气好得多，他们的响应非常迅速。 - Hristo

我甚至无法获得足够的赞数来设置悬赏。我觉得我过去的其他问题更多是“如何...”，所以我认为在“bugzilla”上发布不合适。我会记住这一点，下次再试。再次感谢。 - Philippe Bertrand