tomcat - Tomcat SSL：TLS 与 ALL

Question

Tomcat APR 配置中 SSLProtocol 参数的最佳值是多少？文档说：“可用于与客户端通信的协议。默认值为“全部”，其他可接受的值为“SSLv2”、“SSLv3”、“TLSv1”和“SSLv2+SSLv3”。

起初我犯了一个错误，实际上启用了 SSL2，这给许多客户端带来了问题，例如“不支持 SSL2，您必须切换到 TLS”。所以我把它改成了“TLSv1”，直到我遇到远程http请求的一些问题。

最后，我将值更改为“all”（默认值）。这是正确的吗？还是必须禁用 SSL2？

提前致谢！

Answer 1

Sun JRE 中的默认设置是使用 SSLv2 进行初始握手，然后“升级”到 SSLv3 或 TLSv1。除非您有充分的理由不这样做，否则我会坚持使用默认设置。

Answer 2

我使用SSLv3+TLSv1, 以便禁用 SSLv2（它有许多安全问题并且不符合 PCI-DSS），但客户端可以选择使用 SSLv3 或 TLSv1，这足够安全并且几乎每个现代客户端都支持。