我有一个正在运行的Web服务，通过Apache Tomcat 7在server.xml使用以下连接器元素： <Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol" SSLEnabled="true" maxThreads="150" scheme="https" secure="true" clientAuth="false" keystoreFile="C:\Java\myhost.keystore" keystorePass="importkey" sslProtocol="TLS" /> 多年来，这一直运行良好，但是现在出现了一种新的Logjam安全威胁，并且我正在尝试使用“部署Diffie-Hellman指南”来获取我的Web服务以获取TLS指令。 所以，我将下面一行添加到<connector>元素中： ECDHE-ECDSA-AES128-GCM-SHA256，ECDHE-RSA-AES256-GCM-SHA384，ECDHE-ECDSA-AES256-GCM-SHA384，DHE-RSA-AES128-GCM ECDHE-ECDSA-AES128-SHA256：ECDHE-RSA-AES128-SHA：ECDHE-ECDSA-AES128-SHA：ECDHE-ECDSA-AES128-SHA256：ECDHE-RSA-AES128- -RSA-AES256-SHA384：ECDHE-ECDSA-AES256-SHA384：ECDHE-RSA-AES256-SHA，ECDHE-ECDSA-AES256-SHA，DHE-RSA-AES128-SHA256，DHE-RSA-AES128-SHA，DHE-DSS DHE-RSA-AES256-SHA，DHE-RSA-AES256-SHA，AES128-GCM-SHA256，AES256-GCM-SHA384，AES128-SHA256，AES256-SHA256，AES128 -SHA，AES256-SHA，AES，CAMELLIA，DES-CBC3-SHA“ Tomcat重新启动正常，但我不能再连接到我的Web服务。 检查日志后，我注意到这一行： 警告：SSL引擎不支持指定的密码：ECDHE-RSA-AES128-GCM-SHA256，ECDHE-ECDSA-AES128-GCM-SHA256，ECDHE-RSA-AES256-GCM-SHA384，ECDHE-ECDSA-AES256- ECDHE-RSA-AES128-SHA256：ECDHE-ECDSA-AES128-SHA256：ECDHE-RSA-AES128-SHA256：ECDHE-ECDSA-AES128-SHA256： ECDHE-ECDSA-AES128-SHA：ECDHE-RSA-AES256-SHA384：ECDHE-ECDSA-AES256-SHA384：ECDHE-RSA-AES256-SHA，ECDHE- DHE-RSA-AES128-SHA，DHE-DSS-AES128-SHA256，DHE-RSA-AES256-SHA256，DHE-DSS-AES256-SHA，DHE-RSA-AES256-SHA，AES128-GCM-SHA256，AES256-GCM- SHA384，AES128-SHA256，AES256-SHA256，AES128-SHA，AES256-SHA，AES，CAMELLIA，DES-CBC3-SHA 试图让Tomcat只使用这些密码，我错过了什么？ 我如何使它们由SSL引擎支持？
我昨天发布在askubuntu.com上，但没有得到任何回应。 我们运行一个生产Ubuntu服务器，每天为数千人提供服务。 Sendmail目前没有在这个服务器上工作。 我们花了好几天的时间尝试恢复，但我们还没有find任何解决scheme。 目前有一个错误报告似乎与这个问题有关，所以它比我们影响更多的人。 这是我们所知道的。 星期天我们在服务器上运行更新。 第二天我们发现sendmail没有发送邮件。 /var/log/sendmail.log在每个电子邮件条目上报告“stat = Deferred”。 它偶尔会重复以下消息： STARTTLS=client, error:connect failed=-1, SSL_error=1, errno=0, retry=-1 STARTTLS=client: 7042:error:14082174:SSL routines:SSL3_CHECK_CERT_AND_ALGORITHM:dh key too small:s3_clnt.c:3338:ruleset=tls_server, arg1=SOFTWARE, relay=xxx.xxx.edu, reject=403 4.7.0 TLS handshake failed. 我们检查了SMTP服务器上的日志，发现如下： 06-25T10:57:20-06:00 gw26 sm-mta[17229]: STARTTLS=server, error: accept failed=0, SSL_error=1, errno=0, retry=-1 No explanation available 2015-06-25T10:57:20-06:00 gw26 sm-mta[17229]: STARTTLS=server: 17229:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1110:SSL alert […]
TLS服务器正在做一些我不明白的事情。 TCP握手正常执行。 SSL客户端Hello正常执行。 SSL服务器你好像正常。 提供证书，说服务器你好完成。 解剖显示客户端问题“客户端密钥交换，更改密码规范，encryption的握手消息” 解剖显示服务器问题“更改密码规格”，然后“encryption握手消息” 客户端现在确认，开始发送数据。 但是，服务器的确认，然后发送一个“encryption警报”和FIN的。 这是在交换证书之后发生的。 SSL握手中提供的证书是新密钥。 线索，任何人？
我需要将IIS 7.5（Server 2008 R2）configuration为符合FIPS 140.2。 具体来说，这涉及到禁用除TLS 1.0以外的所有SSL协议。 我已经设置了以下registry项： HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0\Server 启用（DWORD）= 0根据此知识库 ，但SSL实验室的检查器说：“SSL 2.0+升级支持”启用。 （除了那个和TLS 1.0以外的东西都不可用，所以我们正在某处）。 它也说“FIPS准备好 – 没有” – 大概是因为SSL 2.0+升级支持仍然启用。 serversniff.net说SSL 2.0已closures，并没有说任何关于SSL 2.0+升级支持。 这可能是SSL实验室的检查器的一个exception？
我有一个运行sendmail的CentOS 5.x服务器，它无法与一些不同的收件服务器协商TLS。 我正在研究它。 与此同时，我注意到，如果发生TLS握手错误，sendmail不会退步使用标准的未encryption的传递方法。 这是正常的行为？ 我希望这个逻辑在（并且只有）我明确要求域名的时候已经到位。 例如，如果我在/ etc / mail / access中添加了TLS_SRV选项。 在这种情况下，我不这样做。 实质上，Sendmail只运行“机会式TLS”。 到目前为止，我所遇到的所有信息都表明这个问题是预期的行为，并且是硬编码的。 根据http://www.sendmail.org/m4/starttls.html#disable_starttls ： 默认情况下，尽可能使用STARTTLS。 但是，有一些错误的MTA不能正确执行STARTTLS。 为了能够发送（或接收）这些MTA，可以使用与访问映射一起使用的规则集try_tls（srv_features）。 访问映射的条目必须使用Try_TLS（Srv_Features）进行标记，并引用连接系统的主机名或IP地址。 按照http://etutorials.org/Server+Administration/Sendmail/Part+II+Administration/Chapter+10.+Maintain+Security+with+sendmail/10.10+STARTTLS/ ： 如果未使用访问数据库，则除非$ {verify}中的值为SOFTWARE，否则在所有情况下都允许连接，包括入站和出站。在这种情况下，不允许连接。 这两个blurbs都表明try_tls特性是当另一方声称支持它时跳过TLS的唯一select。 我明白，这是一个选项，但它很麻烦，因为这意味着我需要手动exception出站域有麻烦。 有没有其他方式有sendmail后备？
使用https为网站确保通信是encryption的，并来自和去正确的服务器。 但是https与http相比非常慢，它也打破了httpcaching协议。 有时足以确保用户位于正确的域中，并且在连接期间内容未被修改。 所以我不明白的是为什么没有办法让数字签名的网页内容通过http头发送签名（或哈希），所以浏览器可以validation内容。 证书可以在一个已知的地方或附加的标题栏中提供。 由此产生的协议几乎可以兼容caching，代理和浏览器等各种HTTP（如果浏览器不理解头部，它可以忽略它，一个新的浏览器可以显示该网站是否有效）。 那么问题出在哪里：这个话题之前是否讨论过？ 还是有一个RFC或什么可以签署网页已经？
我是新来的邮件服务器的世界，并一直在设置自己的Ubuntu 11.10通过Postfix的。 到目前为止，我有SASLauthentication工作在TLS，所以这是很好的; 我现在担心安全问题。 简而言之：我希望Postfix接受所有未经身份validation的传入邮件，但只允许经过身份validation的传出邮件。 这也让我怀疑在端口465和587上是否有STARTTLS和TLS支持，还是需要在端口25上监听？ 如果25封闭，邮件服务器是否会尝试在587端口上发送邮件？ 但回到允许未经身份validation传入，但只validation传出，我试着添加 -o smtpd_sasl_auth_enable=yes -o smtpd_client_restrictions=permit_sasl_authenticated,reject 到我的master.cf文件中的smtp行，但然后阻止未经身份validation的传入邮件。 有没有办法只允许传入端口25，并离开端口465/587只传出？ 我不知道它会做什么好，但如果有必要，我可以发布我的configuration的其余部分。 任何帮助非常感谢，因为我是新手，这仍然是混乱。 谢谢！
我没有符合PCI规范的扫描。 我已经成功地使用RC4密码进行Apache安装，但是我的Postfixconfiguration仍然没有修复。 我应该在我的main.cf文件中使用什么TLSconfiguration。 我目前的configuration如下 # TLS parameters smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key smtpd_use_tls=yes tls_preempt_cipherlist = yes smtpd_tls_protocols = !SSLv2 smtpd_tls_mandatory_protocols = !SSLv2, SSLv3 smtpd_tls_cipherlist = RC4-SHA:+TLSv1:!SSLv2:+SSLv3:!aNULL:!NULL smtp_tls_cipherlist = RC4-SHA:+TLSv1:!SSLv2:+SSLv3:!aNULL:!NULL smtpd_tls_security_level = encrypt
我目前正在实施EAP / TLS WIFI实施来取代我们的EAP / MSCHAP2 WIFI实施。 我正在使用Windows Server 2008，并且已经安装了证书颁发机构。 用户证书是使用组策略推送的。 无线networking策略也是使用组策略推送的。 一切工作正常，并连接到无线networking，所有的作品在客户端。 我注意到CA服务器为每个login到域的设备创build一个新的用户证书。 因此，我们假设您有两台笔记本电脑，并且都以同一用户身份login到域，它们都将具有唯一的已安装的用户证书。 即使这一切都正常，这不会造成任何问题，我真的很想知道这背后的全部想法是什么。 我期望每个用户都有一个证书，如果一个新的设备login到域，相同的证书将被发布。 如果笔记本电脑被盗，很容易撤销用户证书并创build一个新的。 在目前的情况下，我需要找出哪些证书需要撤销，这对我来说是错误的。 人们向我提到，这样做给了企业更多的灵活性，但是我还是看不到。 如果你想有多个用户证书，无论出于什么原因（例如，在不同的场景中使用它们），这可以很容易地使用不同的子CA来解决，这对我来说是一个合适的解决scheme。 除此之外，证书还用于对用户进行身份validation。 如果你使用用户名/密码系统实现相同的推理/逻辑（即每个笔记本电脑对同一用户有不同的密码），人们会认为这是非常愚蠢的。 所以，我错过了这一点。 有人可以澄清为什么这是？ 是否有可能以一种方式实现这一点，即CA将重新颁发相同的证书给每个使用相同用户名对域进行身份validation的设备？
鉴于我在DNS中configuration了2个子域名（所以ping和我的服务器的IP地址都答复）和这些子域名我有2个不同的TLS证书。 我这样configurationnginx： # If we receive X-Forwarded-Proto, pass it through; otherwise, pass along the # scheme used to connect to this server map $http_x_forwarded_proto $proxy_x_forwarded_proto { default $http_x_forwarded_proto; '' $scheme; } # If we receive Upgrade, set Connection to "upgrade"; otherwise, delete any # Connection header that may have been passed to this server map […]