Tomcat的推荐密码是什么？

Question

截至今天，Chrome终于放弃了对RC4密码的支持。

有谁知道if int(request.GET.get('refresh', '0')): 中推荐的非APR服务器密码列表是什么？我还没有找到明确的消息来源。

对于奖励积分，是否应禁用任何SSL协议？ （有些旧文章说禁用SSLv2？）

Answer 1

如果您只是搜索lots，则Google拥有great results recommended tls ciphers。

短而甜蜜：

1. 禁用SSLv2，SSLv2Hello（不是实际协议）和SSLv3;考虑禁用TLSv1
2. 使用RC4加密禁用任何内容
3. 使用MD5哈希
禁用任何内容
4. 禁用任何密码小于128位的密码套件以进行对称加密
5. 请勿使用小于3072位的RSA密钥，请考虑使用4k
6. 按照首选顺序排列密码，首先使用质量更高的密码
7. 确保启用“荣誉服务器密码顺序”以始终使用您刚刚配置的更好的密码

Answer 2

APR /非APR与它无关，两者的列表相同，但语法不同。

至少删除RC4密码。

Sun / Oracle Java JSSE从未实现过SSLv2。