약한 암호 사용 안 함 Tomcat Embedded

Question

PCI DSS 환경의 일부로 Trend Micro Deep Security를 ​​사용하고 있습니다. 문제는 SSL 인증서가 약한 암호를 사용한다는 것입니다.

이 사이트에 대한 연결에는 강력한 프로토콜 (TLS 1.2), 폐기 된 키 교환 (RSA) 및 폐기 된 암호 (HMAC-SHA1이있는 AES_128_CBC)가 사용됩니다.

응용 프로그램에 포함 된 Tomcat 버전이 사용되며 약한 암호를 비활성화하는 방법을 찾고 있습니다. 나는 https://www.sslshopper.com/article-how-to-disable-weak-ciphers-and-ssl-2-in-tomcat.html이 내가해야 할 일이라고 생각하지만 임베디드 verison으로 이것을 수행하는 방법에 대한 세부 사항을 찾을 수 없습니까?

Answer 1

임베디드 Tomcat을 사용자 정의하는 기본 사항은 예를 들어 다음과 같습니다.

SSLHostConfig[] sslHostConfigs = connector.findSslHostConfigs(); 
sslHostConfigs[0].setProtocols("TLSv1.2, TLSv1.1, TLSv1"); 
sslHostConfigs[0].setCiphers("TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA256, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA256"); 

또는 8.5 이전의 톰캣 버전 :

NioEndpoint endpoint = protocol.getEndpoint(); 
endpoint.setSslEnabledProtocols(...); 
endpoint.setCiphers(...); 

Running A Spring Boot App (Embedded Tomcat) with SSL and Unencrypted Simultaneously

은 다음과 같이 뭔가를 추가, 허용 된 암호를 구성하려면