3

Estoy desarrollando un sitio web. Al momento de testear la URL para conocer las vulnerabilidades, sale la siguiente: 'TLS 1.1 is enabled'. He intentado diferentes soluciones que he encontrado en la web, modificando el archivo server.xml. El que tengo actualmente es este:

<Connector port="8443" protocol="org.apache.coyote.http11.Http11AprProtocol" maxThreads="1024" maxConnections="16384" SSLEnabled="true">
                <SSLHostConfig protocols="all">
                    <Certificate certificateKeyFile="[path-key] 
                   certificateFile="[path-cer]"
                   certificateKeyPassword="[password]"
                   type="RSA" />
                </SSLHostConfig>
  </Connector> 

He cambiado el valor del atributo que dice protocols por la TLS 1.2 pero no funciona. Igualmente he usado el atributo setEnableProtocols y tampoco me ha servido.

Espero puedan guiarme con alguna experiencia que hayan tenido con esto.

Muchas gracias

2 respuestas 2

2

¿Y si pruebas con la v1 y v2 de TLS?

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
       maxThreads="200" SSLEnabled="true">
<SSLHostConfig protocols="TLSv1.1,TLSv1.2">     
<Certificate certificateKeystoreFile="conf/keystore.jks" 
                 type="RSA" />
</SSLHostConfig>

Sino se puede probar cambiando el conector junto con el protocolo

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
     maxThreads="200" scheme="https" secure="true"
     keystoreFile="keystore.jks" keyAlias="alias"
     keystorePass="passw"
     clientAuth="false" sslProtocol="TLS"/>

Si te sirve de ayuda hay una guia la cual indica como configurar de una manera predeterminada en: https://tomcat.apache.org/tomcat-9.0-doc/config/http.html Espero que te sirva de ayuda.

0

Es simple. En la configuración del conector, pones el atributo sslEnabledProtocols para indicar específicamente qué protocolos SSL permites usar.

<Connector port="8443" 
    protocol="org.apache.coyote.http11.Http11AprProtocol" 
    maxThreads="1024" 
    maxConnections="16384" 
    SSLEnabled="true" 
    sslEnabledProtocols="TLSv1.2">
    ...
</Connector>

Un ejemplo de la que uso en una aplicación actualmente, que incluye varios parámetros relacionados. Yo dejo TLSv1.1 y TLS1.2 porque no deja hacer fallback a TLSv1 o SSLv3 y porque uso Java8, así que nada de TLSv1.3 aún.

<Connector port="443"
               server="MyCoolServer"
               protocol="org.apache.coyote.http11.Http11NioProtocol"
               enableLookups="false"
               connectionTimeout="1000"
               maxThreads="45"
               acceptCount="5"
               minSpareThreads="15"
               SSLEnabled="true"
               scheme="https"
               secure="true"
               clientAuth="false"
               sslProtocol="TLS"
               keystoreFile="path/to/keystore"
               keystorePass="myPass"
               keystoreType="JKS"
               sslEnabledProtocols="TLSv1.1, TLSv1.2"
               useServerCipherSuitesOrder="true"
               ciphers="TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,
                        TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,
                        TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384,
               ...
               />

Edito: Como a veces los elementos SSLHostConfig son un poco problemáticos, pon los datos del keystore dentro del elemento connector

5
  • Gracias por tu respuesta. Agregué ese parametro y el servicio no inicia... Ya lo había probado antes. Alguna otra recomendación? Commented el 19 jun. 2019 a las 16:08
  • @soto30andres No habías indicado que lo habías probado. Y qué error sale en el log de tomcat cuando lo inicias con ese parámetro?
    – Alfabravo
    Commented el 19 jun. 2019 a las 16:54
  • Esta es la excepción que sale en el tomcat 'Multiple SSLHostConfig elements were provided for the host name [default]. Host names must be unique.' Commented el 19 jun. 2019 a las 19:23
  • Ese es un problema no relacionado con el nuevo parámetro: stackoverflow.com/questions/42135892/…
    – Alfabravo
    Commented el 19 jun. 2019 a las 19:52
  • Añadí una sugerencia que resuelve ese otro error. Mira de nuevo el ejemplo que puse para no usar SSLHostConfig y edita tu pregunta si pruebas algo nuevo y encuentras otra cosa (así sabemos si tu nueva prueba es valida o tiene errores)
    – Alfabravo
    Commented el 19 jun. 2019 a las 19:59

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.