为 Spring Boot 应用程序启用 RC4 密码套件

Question

我正在尝试在 Spring Boot 应用程序中启用 RC4 密码套件（该应用程序仅支持 JSEE 密码套件http://docs.oracle.com/javase/7/docs/technotes/guides/security/SunProviders.html）

上面的链接有这么多的 RC4 密码套件，应该启用所有密码套件以避免 BEAST 攻击？有没有办法在 Spring Boot 应用程序中仅支持 TLS v1.0 的 RC4 密码？

Answer 1

您的信息有点过时了。是的，RC4 可用于缓解 BEAST 攻击。 RC4 关于 BEAST 的积极因素是它是流密码，而不是分组密码。

但是 RC4 作为一种加密算法有几个弱点可以用来攻击加密本身。

因此，一般的安全建议是完全禁用 RC4 密码。

最好升级您的系统并仅使用 TLS 1.2 连接。这也可以防止 BEAST。