使用 SSL 配置保护 JBoss 7 免受 Beast 攻击

Question

将 SSLv3.0/TLSv1.0 与某些加密技术（CBC 块 ciphers) 可能允许攻击者预测后续 SSL 数据包的所谓初始化向量。使用此信息，攻击者可以访问另一个用户的安全会话。这种名为 BEAST（针对 SSL/TLS 的浏览器漏洞利用）的攻击针对的是用户的浏览器，而不是 Web 服务器。尽管如此，也可以在服务器端采取对策来防止攻击成功。

此问题的完整解决方案是禁用或降低对 使用 SSLv3.0/TLSv1.0 时易受攻击的加密密码（CBC 块密码）。通常，这可以通过在密码协商过程中优先考虑 RC4 密码来实现。

对于支持 SSLv3.0/TLSv1.0 的 Apache Web 服务器，可以通过添加 以下配置：

SSLProtocol All –SSlv2
SSLHonorCipherOrder On
SSLCipherSuite RC4-SHA:HIGH:!ADH

对于支持 SSLv3.1/TLSv1.1 及更高版本的 Apache Web 服务器，建议使用以下配置：

SSLProtocol All –SSlv2
SSLHonorCipherOrder On  
SSLCipherSuite ECDHE-RSA-AES256-SHA384:AES256-SHA256:RC4:HIGH:!MD5:!aNULL:!EDH:!AESGCM

据我所知，JBoss 7 是基于支持 SSLv3.1/TLSv1.1 的 Apache 版本（可能我错了），所以第二种替代方案可以应用于 JBoss 7。

我的问题是：我应该在哪里/如何配置它？

Answer 1

不要偏执于野兽攻击。根据this Oracle 修复问题，它与 JBoss 没有直接关系，它是一个 JVM 问题。如here 所述，在现实世界中很难应用野兽攻击。只需确保您的 JVM 和 JBoss 是最新的。如果您仍有疑问，最好在 apache 或 nginx 等反向代理后运行 JBoss。