Jetty不包括一些密码套件。为什么？

Question

我最近更新了使用Jetty的服务器工作的环境，似乎排除了一些密码。根据{{​​1}}，它是：

sslContextFactory.getExcludeCipherSuites()

我自己没有排除它。我在任何Jetty更改日志中都找不到它，但我看到Jetty 9.3.12并没有排除那些密码。现在版本9.3.13和9.3.14排除了它们。你知道怎么把这些密码包括在内吗？我需要它们，因为有些客户端必须在非常旧且不受支持的系统（WinXP）上使用非常旧的和不受支持的浏览器（MS IE 7）。

我使用Oracle的jdk1.8.0_112和RedHat服务器上的Jetty 9.3.13 / Jetty 9.3.14。

Answer 1

那些密码组织是不安全的： https://en.wikipedia.org/wiki/MD5#Security https://en.wikipedia.org/wiki/SHA-1#Attacks

Answer 2

虽然我知道MD5和SHA1算法不安全但我必须支持可以使用SSL_RSA_WITH_3DES_EDE_CBC_SHA进行连接的MS IE7用户。当sbordet在Jetty github回答我时，我不得不打电话：

sslContextFactory.setExcludeCipherSuites()

（方法调用中没有参数表示重置）