Question

在设置我们的域用户以支持Kerberos令牌（Windows Server 2008R2）的AES加密后，在Web应用程序服务器端，我们得到以下异常：

GSSException：在GSS-API级别未指定失败（机制级别：具有HMAC SHA1-96的加密类型AES256CTS模式不是支持/启用）

奇怪的是，我们有Java 6（1.6.0_27），这意味着应该支持AES，根据这个文档：http://docs.oracle.com/javase/6/docs/technotes/guides/security/jgss/jgss-features.html

我们的网络应用程序或Java或第三方缺少哪些想法？我们正在使用Spring安全Kerberos扩展（使用最少的代码修改来适应我们当前的Spring 2.x版本和其他身份验证要求）。

Answer 1

编辑（2017-05-06）：即将推出的JDK版本将包括此内容。只需设置配置参数，请参阅JDK-8157561。

按照此link - Java SE Downloads，向下滚动并下载适用于您的特定JDK版本的Java Cryptography Extension（JCE）Unlimited Strength Jurisdiction Policy Files，并按照本教程中标题为5.4.2. Kerberos and Unlimited Strength Policy的过程进行操作。

基本步骤如下：

找到JDK的安全目录（如下所示）：

$ locate 'jre/lib/security' | grep 'lib/security$'
/usr/java/jdk1.7.0_17/jre/lib/security
/usr/lib/jvm/java-1.5.0-gcj-1.5.0.0/jre/lib/security
/usr/lib/jvm/java-1.6.0-openjdk-1.6.0.0.x86_64/jre/lib/security
/usr/lib/jvm/java-1.7.0-openjdk-1.7.0.9.x86_64/jre/lib/security

注意到上述情况，我们需要将下载的JCE .jar文件添加到/usr/java/jdk1.7.0_17/jre/lib/security。

JCE .zip文件包含以下内容（显示JDK 1.7的JCE）：

$ ls -l UnlimitedJCEPolicy
total 16
-rw-rw-r-- 1 root root 2500 May 31  2011 local_policy.jar
-rw-r--r-- 1 root root 7289 May 31  2011 README.txt
-rw-rw-r-- 1 root root 2487 May 31  2011 US_export_policy.jar

这些是JDK的捆绑版本（同样是1.7）：

$ ls -l /usr/java/jdk1.7.0_17/jre/lib/security/*.jar
-rw-r--r--. 1 root root 2865 Mar  1  2013 /usr/java/jdk1.7.0_17/jre/lib/security/local_policy.jar
-rw-r--r--. 1 root root 2397 Mar  1  2013 /usr/java/jdk1.7.0_17/jre/lib/security/US_export_policy.jar

我们需要将它们移开并用JCE .zip文件中包含的版本替换它们。我通常会执行以下操作：

$ pushd /usr/java/jdk1.7.0_17/jre/lib/security/
/usr/java/jdk1.7.0_17/jre/lib/security ~

$ mkdir limited
$ mv *.jar limited/

$ cp ~/UnlimitedJCEPolicy/*.jar .
$ ls -l *.jar
-rw-r--r-- 1 root root 2500 Jun 25 12:50 local_policy.jar
-rw-r--r-- 1 root root 2487 Jun 25 12:50 US_export_policy.jar

重启任何使用JDK（Tomcat等）的东西。

GSSException：[..]不支持/启用带有HMAC SHA1-96的加密类型AES256CTS模式

1 个答案: