0

将 SSLv3.0/TLSv1.0 与某些加密技术（CBC 分组密码）结合使用，可以让攻击者预测后续 SSL 数据包的所谓初始化向量。使用此信息，攻击者可以访问另一个用户的安全会话。这种名为 BEAST（针对 SSL/TLS 的浏览器漏洞利用）的攻击针对的是用户的浏览器，而不是 Web 服务器。尽管如此，也可以在服务器端采取对策来防止成功的攻击。

此问题的完整解决方案是在使用 SSLv3.0/TLSv1.0 时禁用或取消对易受攻击的加密密码（CBC 块密码）的支持。通常，这可以通过在密码协商过程中优先考虑 RC4 密码来实现。

对于支持 SSLv3.0/TLSv1.0 的 Apache Web 服务器，可以通过添加以下配置进行配置：

SSLProtocol All –SSlv2
SSLHonorCipherOrder On
SSLCipherSuite RC4-SHA:HIGH:!ADH

对于支持 SSLv3.1/TLSv1.1 及更高版本的 Apache Web 服务器，建议使用以下配置：

SSLProtocol All –SSlv2
SSLHonorCipherOrder On  
SSLCipherSuite ECDHE-RSA-AES256-SHA384:AES256-SHA256:RC4:HIGH:!MD5:!aNULL:!EDH:!AESGCM

据我所知，JBoss 7 是基于支持 SSLv3.1/TLSv1.1 的 Apache 版本（也许我错了），所以第二种替代方案可以应用于 JBoss 7。

我的问题是：我应该在哪里/如何配置它？

4

1 回答 1

0

不要偏执于野兽攻击。根据这个Oracle 修复问题，它与 JBoss 没有直接关系，它是一个 JVM 问题。如此处所述，在现实世界中很难应用野兽攻击。只需确保您的 JVM 和 JBoss 是最新的。如果您仍有疑问，最好在 apache 或 nginx 等反向代理后面运行 JBoss。

于 2012-12-06T00:23:23.020 回答