在JBoss AS 7.1.1上关闭SSLv3

Question

我在JBoss AS 7.1.1上运行了Spring MVC App。我需要关闭SSLv3以防止Poodle漏洞。 https://access.redhat.com/solutions/1232233上的JBoss文档建议我需要确保SSLv3属性中没有列出SSLv3。

我已尝试过，但只有在下面显示的Internet Explorer选项中启用SSL后，我仍然可以连接到我的网站。以下是我的standalone.xml配置：

<connector name="https" protocol="HTTP/1.1" scheme="https" socket-binding="https" secure="true">
     <ssl name="foo-ssl" key-alias="foo" password="secret" certificate-key-file="C:\Dev\Java\jdk1.6.0_34\bin\foo.keystore" protocol="TLSv1"/>
</connector>

有人可以建议我在这里缺少什么吗？

Answer 1

我终于找到了解决问题的方法。如果您更改了协议＆＃39;到＃＆＃39;协议＆＃39;在上面提到的配置中，确保协议列表中的sslv3 不，然后禁用SSLv3。

请注意以下配置中的协议属性

<connector name="https" protocol="HTTP/1.1" scheme="https" socket-binding="https" secure="true">
     <ssl name="foo-ssl" key-alias="foo" password="secret" certificate-key-file="C:\Dev\Java\jdk1.6.0_34\bin\foo.keystore" protocol="TLSv1,TLSv1.1,TLSv1.2"/>
</connector>

进行此更改后，如果您打开IE并禁用除SSL 3.0之外的所有其他协议 - 然后尝试访问该网页，则您应该无法看到该网页。

此处提供了更多详细信息：http://abhirampal.com/2015/07/23/disable-ssl-v3-on-jboss-as-7-1-1/