Winstone 为 SSL 身份验证配置自签名密钥库

Question

我正在使用

创建自签名密钥

keytool -genkey -keyalg RSA -alias selfsigned -keystore keystore.jks -storepass password -validity 1360 -keysize 2048

使用 --httpsKeyStore=keystore.jks 选项将密钥库嵌入 Winstone servlet 容器。从 chrome 访问时出现以下错误

服务器有一个弱的、短暂的 Diffie-Hellman public 密钥

ERR_SSL_WEAK_SERVER_EPHEMERAL_DH_KEY

有没有办法通过创建密钥库或配置 Winstone 来解决这个问题？我可以从 firefox 浏览器访问该站点。

Answer 1

这不是密钥库或证书问题。这告诉您，您的服务器为建立 SSL/TLS 连接的 Diffe-Hellman 握手部分配置了弱加密。这是来自 server.xml 文件的示例，该文件未使用弱密码术：

<Connector port="443" 
              protocol="org.apache.coyote.http11.Http11Protocol"
              SSLEnabled="true"
              maxThreads="150"
              scheme="https"
              secure="true"
              keystoreFile="..\ssl\keystore"
              keystorePass="yourpasswordgoeshere"
              clientAuth="false"
              sslProtocol="TLSv1.2"
              sslEnabledProtocols="TLSv1.2,TLSv1.1,TLSv1"
              ciphers="TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,
                       TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384,
                       TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
                       TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256,
                       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,
                       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,
                       TLS_ECDH_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384,
                       TLS_ECDH_RSA_WITH_AES_256_CBC_SHA,TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA,
                       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256,
                       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,
                       TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256,
                       TLS_ECDH_RSA_WITH_AES_128_CBC_SHA,TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA"
   />

Answer 2

已将我的服务器 Java 版本更新到 1.7（以前是 1.6），现在我可以添加例外并在 chrome 浏览器

中继续

Winstone 为 SSL 身份验证配置自签名密钥库

Winstone configure self signed keystore for SSL Authentication

java

ssl

keytool

ssl-certificate

winstone

服务器有一个弱的、短暂的 Diffie-Hellman public 密钥