Почему не все наборы шифров включены по умолчанию в Java?

Question

В чем недостаток:

sslSocket.setEnabledCipherSuites( sslSocket.getSupportedCipherSuites() );

Почему это не настройка по умолчанию? Есть ли какой-то риск безопасности с некоторыми из них?

Answer 1

Не все наборы шифров равны. Список поддерживаемых наборов шифров может включать в себя наборы шифров NULL (без шифрования или без аутентификации или обоих) или другие наборы слабых шифров, и вы, вероятно, не хотите, чтобы это было включено?