码头 - 任何方式来配置 SSL 密码的顺序？

Question

我正在尝试将 Jetty 配置为更喜欢使用完美前向保密的密码，而不是那些不支持它的密码，但同时允许只支持它们的客户端使用这些旧密码。但是，我不知道如何为 Jetty 配置订单。这可能吗？

我已将服务器的 SSLContextFactory 的 setUseCipherSuitesOrder 方法设置为 true，但没有看到与在 server.xml 中设置密码列表的选项等效的选项，这似乎可以使用 Tomcat。我正在使用嵌入式 Jetty 9.4.x，目前正在运行 Java 8。

Answer 1

TLS 和 HTTP/2 具有严格/强制性的密码套件顺序要求。

由于协议需要特定的行为，您无法再控制它，因此 Jetty 不提供它作为选项。

虽然 JRE 确实有 SSLParameters.setUseCipherSuitesOrder(true)，但不可能在所有现代 HTTP 连接场景中使用它。

您可以选择在 SslContextFactory.setUseCipherSuitesOrder(boolean) 上将此 Java 选项与 Jetty 一起使用。请注意，较新的 TLS 版本（1.2 及更高版本）和 HTTP/2 将覆盖此设置以满足他们自己的需要和要求。