什么是正确的JBoss EAP 6.0.1密码套件配置以缓解Logjam / weakdh.org？

Question

什么是正确的JBoss EAP 6.0.1密码套件配置以缓解Logjam / weakdh.org？

3

由于logjam和https://weakdh.org/（Logjam：Diffie-Hellman在实践中的失败）网站近日受到关注，我决定按照此处所述加强我的JBoss EAP 6.0.1系统的SSL配置：

13.2.5. SSL连接器参考：https://access.redhat.com/documentation/en-US/JBoss_Enterprise_Application_Platform/6/html/Administration_and_Configuration_Guide/SSL_Connector_Reference1.html

交叉引用至此处：http://www.coderanch.com/t/613062/JBoss/configuring-SSL-Https-Jboss

我 standalone.xml 的相关部分以混淆形式包含在下面：

    <connector name="https" protocol="HTTP/1.1" scheme="https" 
    socket-binding="https" secure="true">  
    <ssl  
     key-alias="**********"  
     password="**********"  
     certificate-key-file="/var/**********/**********.jks"  
     protocol="TLSv1.2"  
     cipher-suite="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_DSS_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_128_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_SHA256,TLS_ECDHE_RSA_WITH_AES_128_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_SHA,TLS_ECDHE_RSA_WITH_AE_256_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_SHA384,TLS_ECDHE_RSA_WITH_AES_256_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_SHA,TLS_DHE_RSA_WITH_AES_128_SHA256,TLS_DHE_RSA_WITH_AES_128_SHA,TLS_DHE_DSS_WITH_AES_128_SHA256,TLS_DHE_RSA_WITH_AES_256_SHA256,TLS_DHE_DSS_WITH_AES_256_SHA,TLS_DHE_RSA_WITH_AES_256_SHA"  
     />  
    </connector>

以上内容是一个HTTPS连接器的配置信息，其中包含了SSL证书相关信息。

协议限制有效，但是我发现密码套件属性似乎没有任何作用。我已将列表缩减到仅两个套件，但是JBoss在8443端口返回的列表始终相同。我已经通过Qualys SSL Labs测试了该系统，并且返回的密码套件列表包括许多弱密码套件，这些套件未包含在我的列表中。

 Cipher Suites (sorted by strength; the server has no preference)
 TLS_RSA_WITH_RC4_128_MD5 (0x4)   WEAK     128
 TLS_RSA_WITH_RC4_128_SHA (0x5)   WEAK     128
 TLS_RSA_WITH_AES_128_CBC_SHA (0x2f)     128
 TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x33)   DH 768 bits (p: 96, g: 96, Ys: 96)   FS   INSECURE     128
 TLS_ECDHE_RSA_WITH_RC4_128_SHA (0xc011)   WEAK     128
 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)   ECDH 571 bits (eq. 15360 bits RSA)   FS     128
 TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa)     112
 TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA (0x16)   DH 768 bits (p: 96, g: 96, Ys: 96)   FS   INSECURE     112
 TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (0xc012)   ECDH 571 bits (eq. 15360 bits RSA)   FS     112

更新：我尝试通过命令行界面调整配置，希望它能产生不同的效果：

 /subsystem=web/connector=https/ssl=configuration/:write-attribute(name=cipher-suite, value="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA")

然后输出以下内容（也对应新的 standalone.xml）：

 [standalone@localhost:9999 /] /subsystem=web/connector=https/ssl=configuration/:read-resource(recursive=true,proxies=false,include-runtime=true,include-defaults=true)
 {
      "outcome" => "success",
      "result" => {
           "ca-certificate-file" => undefined,
           "ca-certificate-password" => undefined,
           "ca-revocation-url" => undefined,
           "certificate-file" => undefined,
           "certificate-key-file" => "/var/xxxx/xxxx-xx/xxxx.jks",
           "cipher-suite" => "TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA",
           "key-alias" => "xxxx",
           "keystore-type" => undefined,
           "name" => undefined,
           "password" => "****",
           "protocol" => "TLSv1.2",
           "session-cache-size" => undefined,
           "session-timeout" => undefined,
           "truststore-type" => undefined,
           "verify-client" => "false",
           "verify-depth" => undefined
      },
      "response-headers" => {"process-state" => "reload-required"}
 }

但是nmap使用这个命令：

 nmap -p 8443 -A --script ssh-hostkey,ssh2-enum-algos,sshv1,ssl-cert,ssl-date,ssl-enum-ciphers,ssl-google-cert-catalog,ssl-heartbleed,ssl-known-key,sslv2 xxxx.de

坚称其他密码套件仍然活动：

 Starting Nmap 6.47 ( http://nmap.org ) at 2015-05-31 09:41 W. Europe Daylight Time

 Nmap scan report for xxxx.de (x.x.x.x)
 Host is up (0.031s latency).

 PORT     STATE SERVICE  VERSION
 8443/tcp open  ssl/http Apache Tomcat/Coyote JSP engine 1.1

 | ssl-cert: Subject: commonName=xxxx.de
 | Issuer: commonName=COMODO RSA Domain Validation Secure Server CA/organizationName=COMODO CA Limited/stateOrProvinceName=Greater Manchester/countryName=GB
 | Public Key type: rsa
 | Public Key bits: 2048
 | Not valid before: 2015-05-27T23:00:00+00:00
 | Not valid after:  2016-05-21T22:59:59+00:00
 | MD5:   7ac1 b1a9 4fd8 c438 0bce 0e82 bb2a 5e06
 |_SHA-1: 9b6e 185c 8598 aec6 7949 e7b1 3183 fc87 637f e86b
 | ssl-enum-ciphers: 
 |   TLSv1.0: No supported ciphers found
 |   TLSv1.2: 
 |     ciphers: 
 |       TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA - strong
 |       TLS_DHE_RSA_WITH_AES_128_CBC_SHA - strong
 |       TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 - strong
 |       TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA - strong
 |       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA - strong
 |       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 - strong
 |       TLS_ECDHE_RSA_WITH_RC4_128_SHA - strong
 |       TLS_RSA_WITH_3DES_EDE_CBC_SHA - strong
 |       TLS_RSA_WITH_AES_128_CBC_SHA - stron
 |       TLS_RSA_WITH_AES_128_CBC_SHA256 - strong
 |       TLS_RSA_WITH_RC4_128_MD5 - strong
 |       TLS_RSA_WITH_RC4_128_SHA - strong
 |     compressors: 
 |       NULL
 |_  least strength: strong
 | ssl-google-cert-catalog: 
 |_  No DB entry

 Nmap done: 1 IP address (1 host up) scanned in 55.74 seconds
 - See more at: https://developer.jboss.org/message/931697#sthash.3ZJZG9PV.dpuf

显然，这个主题有一些指南在这里：https://access.redhat.com/solutions/661193（在EAP 6中禁用弱SSL密码）可惜的是，我没有访问权限，因为RedHat的政策似乎把应用服务器和互联网的安全性都放在了一个付费墙后面。叹气。

有人能确认这个问题，并最好提供解决方案吗？除了将其放在反向代理后面（我的备选计划），还有谁有工作配置？谢谢。

参考：https://developer.jboss.org/message/931697

- sprockets

3个回答

1

我们正在使用 jboss-6.1.0 版本，并通过添加代码解决了这个问题。

SSLHonorCipherOrder="On" 
ciphers="SSL_RSA_WITH_RC4_128_MD5,SSL_RSA_WITH_RC4_128_SHA"

转到 server.xml，即。

<Connector protocol="HTTP/1.1" SSLEnabled="true" 
           port="8443" address="${jboss.bind.address}"
           scheme="https" secure="true" clientAuth="false" 
           keystoreFile="${jboss.server.home.dir}/conf/XXXX"
           keystorePass="XXXX" sslProtocol = "TLS"     
           SSLHonorCipherOrder="On" 
           ciphers="SSL_RSA_WITH_RC4_128_MD5,SSL_RSA_WITH_RC4_128_SHA" />

我认为长期解决方案是升级到最新的JBOSS AS之一。

- singar

0

使用https连接器内ssl元素的以下属性，使其正常工作：

protocol="TLSv1,TLSv1.1,TLSv1.2" 
cipher-suite="TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_RC4_128_SHA, TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256, TLS_RSA_WITH_AES_256_CBC_SHA,SSL_RSA_WITH_RC4_128_SHA"

- gcampos

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- sprockets · Accepted Answer

由于没有收到JBoss邮件列表或Stackoverflow团队的任何反馈，我认为这是该JBoss版本中的错误。我已通过升级到Wildfly 8.2并按照提供的说明进行配置来解决此问题，并且它按预期工作。

我想这可能是服务器较旧版本中的一个错误。为了纪念，以下是Wildfly的SSL侦听器配置：

 <https-listener name="https" socket-binding="https" security-
  realm="SSLRealm"      
  enabled-protocols="TLSv1.2"     
  enabled-cipher-suites="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, etc."/>

一个相应的安全领域可能看起来像这样：

<security-realm name="SSLRealm"> 
    <server-identities> 
      <ssl > 
        <keystore
     path="/var/mysite/ssl/mysite.jks"
     keystore-password="******"
     alias="mysite"
     /> 
      </ssl> 
    </server-identities> 
  </security-realm>