Question

我们通过同样需要PCI扫描的tomcat7实例运行SSL。 SSL密码始终是一个痛苦的问题，客户使用的PCI合规公司除了＆＃34之外还没有太多的信息;参考供应商文档。＆＃34;

最新一期是tomcat应该支持RC4密码算法。具体来说，扫描表明tomcat正在接受SSL_RSA_WITH_RC4_128_SHA，TLS_ECDHE_RSA_WITH_RC4_128_SHA和SSL_RSA_WITH_RC4_128_MD5。问题是我们只允许TLS，而我们告诉它使用的几个密码并不是他们列出的那些不好的密码。我们的连接器块是：

<Connector address="XXX.XXX.XXX.XXX" port="443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="false" sslProtocol="TLS" sslEnabledProtocols="TLSv1.2,TLSv1.1,TLSv1" keystoreFile="XXXX" 
    keystorePass="XXXX" keyAlias="XXXX"
    ciphers="TLS_ECDH_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA" />

我对IP进行了在线扫描，并且还显示了一些RC4密码。

我有什么遗失的东西吗？对于这一切的各个方面，我确实有点无知。

由于

Tomcat使用RC4密码时不存在于＃34; ciphers＆＃34;名单

0 个答案: