Как настроить TomEE 1.5.2 только для того, чтобы предлагать SSL-шифры, считающиеся надежными/безопасными в настоящее время?

Question

Я получаю эту ошибку в FF, когда пытаюсь достичь своего приложения.

(Код ошибки: ssl_error_weak_server_ephemeral_dh_key)

Я следовал этой HOW TO по настройке SSL, но он не работает. Итак, как настроить TomEE?

Что я сделал генерировать хранилищу:

keytool -genkeypair -v -dname "cn=NAME, ou= NEME, o= NAME, l=CITY, st=STATE, c=XX" -alias tomcat - keypass PASS -storepass PASS -keyalg RSA -validity 3650

И добавил к server.xml:

<Connector SSLEnabled="true" acceptCount="100" clientAuth="false" 
     disableUploadTimeout="true" enableLookups="false" maxThreads="25" 
     port="8444" keystoreFile="KEYSTORE_FILE" keystorePass="PASS" 
     protocol="org.apache.coyote.http11.Http11NioProtocol" scheme="https" 
     secure="true" sslProtocol="TLS" /> 

Но это не работает

Answer 1

Ошибка вы видите, из-за смягчения Firefox для Logjam attack. Чтобы исправить это, вам придется увеличить длину ключа DH, который, к сожалению, в настоящее время не является вариантом для Tomcat или TomEE.

Параметры, имеющие в настоящее время являются

а) Удалите поддержку DH шифров для вашего сервера и только позволяют без DH шифров. Это описано в official Logjam mitigations page (прокрутите вниз до раздела под названием «Apache Tomcat»). Обратите особое внимание на примечание о действии, необходимом для использования 256-битных AES-шифров.

ИЛИ

б) Отключить параметры безопасности в Firefox, чтобы разрешить соединения на сайты, как ваша, которые имеют слабые ключи DH. Это не рекомендуется, так как ваши пользователи могут не захотеть снизить свою безопасность только для доступа к вашему сайту. Это описано в соответствующем Security Stack Exchange answer.