Tomcat SSL: TLS против всех

Question

Какое лучшее значение для параметра SSLProtocol в конфигурации Tomcat APR? В документе сказано: «Протокол, который можно использовать для связи с клиентами. По умолчанию используется значение« all », другие допустимые значения -« SSLv2 »,« SSLv3 »,« TLSv1 »и« SSLv2 + SSLv3 ».

Сначала я допустил ошибку и фактически включил SSL2, что вызвало проблемы у многих клиентов, таких как «SSL2 не поддерживается, вы должны переключиться на TLS». Поэтому я изменил это на «TLSv1», и это было нормально, пока у меня не возникли проблемы с удаленными http-запросами.

Наконец я изменил значение на «все» (по умолчанию). Это правильно? Или SSL2 должен быть отключен?

Заранее спасибо!

Answer 1

По умолчанию в Sun JRE используется SSLv2 для первоначального рукопожатия, а затем «обновляется» до SSLv3 или TLSv1. Если у вас нет веских причин не делать этого, я бы придерживался значения по умолчанию.

Answer 2

Я использую SSLv3+TLSv1, так что SSLv2 отключен (у него есть ряд проблем безопасности и он не совместим с PCI-DSS), но клиенты могут выбрать либо SSLv3, либо TLSv1, который достаточно безопасен и поддерживается практически каждый современный клиент.