如何解决 Apache Tomcat 上的 Sweet32 漏洞？答案

【问题标题】：How to resolve Sweet32 vulnerability on Apache Tomcat?如何解决 Apache Tomcat 上的 Sweet32 漏洞？
【发布时间】：2018-01-12 20:03:37
【问题描述】：

我在摆脱服务器漏洞时遇到了一些麻烦。 Sweet32 漏洞处理我的 Web 服务器上的中等强度密码套件。扫描器输出如下所示，“远程主机支持使用提供中等强度加密的 SSL 密码。Nessus 将中等强度视为使用密钥长度至少为 64 位且小于 112 位的任何加密，或者使用 3DES加密套件。”

在服务器上发现以下中等强度密码：

EDH-RSA-DES-CBC3-SHA;  
ECDHE-RSA-DES-CBC3-SHA;  
DES-CBC3-SHA

我尝试为 Apache Tomcat 编辑 server.xml 文件。我一直在编辑 server.xml 文件的 SSL 连接器部分。它的内容如下，但该漏洞仍在被标记。我还尝试禁用注册表中的某些密码套装，例如 3DES。有关如何修复此漏洞的任何想法都会非常有帮助。

     <Connector URIEncoding="UTF-8" 
     clientAuth="false" 
     port="443"
     scheme="https"  
     minSpareThreads="5" 
     enableLookups="true" 
     acceptCount="100" 
     maxThreads="200"         
     secure="true" 
     SSLEnabled="true"
     keystoreFile="**********" 
     keystorePass="*********"
     sslProtocol="TLSv1.2"
     algorithm="IbmX509"
     compression="on" 
     noCompressionUserAgents="gozilla, traviata" 
     compressableMimeType="text/html,text/xml,text/css,text/plain,text        /javascript,application/javascript,application/x-javascript"
 SSLCipherSuite="TLS_EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:ECDHE-RSA-AES128-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA128:DHE-RSA-AES128-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-GCM-SHA128:ECDHE-RSA-AES128-SHA384:ECDHE-RSA-AES128-SHA128:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA128:DHE-RSA-AES128-SHA128:DHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA384:AES128-GCM-SHA128:AES128-SHA128:AES128-SHA128:AES128-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4:!3DES:!ECDHE-RSA-DES-CBC3-SHA"
 />

【问题讨论】：

标签： apache security tomcat ssl encryption

【解决方案1】：

从server.xml 文件中删除您列出的密码应该可以解决此问题。

像这样：

SSLCipherSuite="TLS_EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:ECDHE-RSA-AES128-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA128:DHE-RSA-AES128-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-GCM-SHA128:ECDHE-RSA-AES128-SHA384:ECDHE-RSA-AES128-SHA128:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA128:DHE-RSA-AES128-SHA128:DHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA:AES128-GCM-SHA384:AES128-GCM-SHA128:AES128-SHA128:AES128-SHA128:AES128-SHA:AES128-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4:!3DES"

【讨论】：