Tomcat für SSLv2 konfigurieren

[DevHammer]

Hallo,

Ich muss für eine Schnittstellenanbindung den Tomcat zwingend für SSLv2 konfigurieren.

Leider findet man nicht viel bis gar keinen Input darüber im Netz.

Folgende Konfiguration (server.xml) habe ich derzeit:

    <Connector port="443" maxHttpHeaderSize="8192"
               maxThreads="150" minSpareThreads="25" maxSpareThreads="75"
               enableLookups="true" disableUploadTimeout="true"
               acceptCount="100" debug="1" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS" />

Ändert man nun das sslProtocol auf SSLv2, kommt folgende Fehlermeldung beim Verbindungsversuch:

> openssl s_client -ssl2 -connect <IP-ADDRESS>:443

Loading 'screen' into random state - done
CONNECTED(00000784)
4512:error:1406D0CB:SSL routines:GET_SERVER_HELLO:peer error no cipher:.\ssl\s2_pkt.c:6
4512:error:1407F0E5:SSL routines:SSL2_WRITE:ssl handshake failure:.\ssl\s2_pkt.c:428:

TLS und SSLv3 kann problemlos konfiguriert und connected werden.

Ebenfalls habe ich bereits auch die Cipher-Suites, wie im folgenden Post beschrieben, hinzugefügt.
Securing SSL in Tomcat - Part One (blog.techstacks.com)
Securing SSL in Tomcat - Part Two (blog.techstacks.com)

Web- bzw. Servlet-Container ist leider zwingend der Tomcat.
Dem Apache Web-Server kann man problemlos SSLv2 beibringen.

Derzeit bin ich mit schwindender Hoffnung noch daran die APR (Apache Portable Runtime) in den Tomcat zu integrieren und diese für OpenSSL zu konfigurieren.

Kann mir da vielleicht jemand weiterhelfen, oder definitiv sagen, ob dies überhaupt möglich ist?

Vielen Dank und viele Grüße,
DevHammer

 

[Noctarius]

Für SSL würde ich dem Tomcat einen Apache voranstellen der sich um die Verschlüsselung kümmert.

 

[DevHammer]

Für SSL würde ich dem Tomcat einen Apache voranstellen der sich um die Verschlüsselung kümmert.

Hallo Noctarius,

Danke für den Tipp!
Allerdings läuft bereits eine Web-App auf dem Tomcat, die zwingend den internen Web-Server des Tomcats (Coyote) benutzt.
Leider ist die Infrastruktur da ziemlich starr.

Weißt Du zufällig wie sich die beiden (Apache und Tomcat bzw. Coyote) bezüglich der Zertifizierung unterscheiden?
Stichwort: JSSE und OpenSSL!?

Danke und Gruß,
DevHammer

 

[Noctarius]

Du kannst doch trotzdem den Apache als Proxy vor den internen Tomcat-Webserver stellen. Dieser nimmt die SSL Verbindung an und gibt einen Proxy-Request an den internen Server weiter.

Nee hab mit der Zertifizierung unter Java nicht viel Erfahrung, sorry.

 

[DevHammer]

Du kannst doch trotzdem den Apache als Proxy vor den internen Tomcat-Webserver stellen. Dieser nimmt die SSL Verbindung an und gibt einen Proxy-Request an den internen Server weiter.

Nee hab mit der Zertifizierung unter Java nicht viel Erfahrung, sorry.

Ok, das wäre dann zum APR mit OpenSSL noch eine Alternative zum ausprobieren.
Ein solcher Eingriff in die Infrastruktur liegt mir allerdings immer noch schwer im Magen.
Schöner wäre es natürlich dem Tomcat direkt SSLv2 beizubringen.

 

[DevHammer]

... es müssen über SSLv2 eigentlich nur Dateien zum Download bereitgestellt werden.
Das Schnittstellengerät unterstützt leider nur genau dieses Protokoll.

Umgebung:
Aktuelles JDK 6 Upd 18 und Tomcat 6.0.20 wurden verwendet.

 

[Noctarius]

Gerade wenn es nur Filedownload ist, ohne groß Links und Redirects ist der Apache-Proxy doch prädestiniert.
Liegen die Files eventuell sogar temporär auf der Festplatte? Dann könntest du den Apache sogar die Files von da lesen lassen anstatt den Proxy zu nutzen. Statische Daten sind immer einfacher und besser