Wildfly SSL协议(TLSv1.2)配置

Question

我想知道在wildfly上配置SSL协议的正确方法.

在查看示例时,我发现了两种不同的方法.我想知道哪一个是正确的做法 -

将其添加到协议部分,如下所示:

<security-realm name="sslRealm">
            <server-identities>
                 <ssl protocol="TLSv1.2">

或者在https监听器中添加它,如下所示:

<https-listener name="https" socket-binding="https" security-
realm="sslRealm" enabled-protocols="TLSv1.2"/>

我正在使用wildfly-8.2.0.Final.

Answer 1

此处显示的配置选项也适用于Wildfly 9 和 10

正确的方法是两者都使用。它们是密切相关的，请参见下文。

• <https-listener ..>

  Wildfly Undertow 子系统支持enabled-protocols属性，它是要支持的协议的逗号分隔列表。例如：

  enabled-protocols="TLSv1.1,TLSv1.2"

  仅仅通过 TLSv1.2，很多漏洞就被堵住了。但是，默认情况下，Wildfly 支持所有版本的 TLS（v1.0、v1.1 和 v1.2），即使 1.2 以下的版本被认为较弱。

• <server-identities />

  基本上，您可以在这里选择之前启用的协议之一。

  <security-realm name="sslRealm">
      <server-identities>
          <ssl protocol="TLSv1.2">
  

  该protocol属性默认设置为TLS，一般不需要设置。

请注意，无需对默认配置进行任何更改，您将获得支持 TLSv1.0、TLSv1.1 和 TLSv1.2 的 https 服务器。

要检查这些配置的效果，请使用以下命令：

nmap --script ssl-enum-ciphers -p 8443 <your wildfly IP>