如何在Tomcat 8.5.x中启用TLS_FALLBACK_SCSV支持

TLS_FALLBACK_SCSV的支持依赖于Tomcat使用的底层SSL实现（JSSE或APR/OpenSSL），以下是两种场景下的配置步骤：

1. 使用默认JSSE连接器（JDK自带SSL） #

Tomcat 8.5.x默认搭配JDK的JSSE实现使用NIO/NIO2连接器，只要JDK版本达标，TLS_FALLBACK_SCSV会自动启用：

• JDK版本要求：JDK 7 Update 95+ 或 JDK 8 Update 76+（这些版本已默认支持TLS_FALLBACK_SCSV）
• Tomcat Connector配置示例：
  编辑conf/server.xml，确保SSL配置指定了匹配的TLS协议：

  <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
             maxThreads="150" SSLEnabled="true">
      <SSLHostConfig>
          <Certificate certificateKeystoreFile="conf/your-keystore.jks"
                       type="RSA" />
          <!-- 明确指定支持的TLS版本，与扫描结果匹配 -->
          <Protocols>TLSv1.0,TLSv1.1,TLSv1.2</Protocols>
      </SSLHostConfig>
  </Connector>
  

• 配置完成后重启Tomcat，JSSE会自动启用TLS_FALLBACK_SCSV，无需额外开关。

2. 使用APR/OpenSSL连接器（高性能原生实现） #

如果使用Tomcat Native搭配OpenSSL，需先确保依赖版本达标：

• 依赖版本要求：Tomcat Native 1.2.17+、OpenSSL 1.0.2g+（这些版本已支持TLS_FALLBACK_SCSV）
• Tomcat Connector配置示例：
  编辑conf/server.xml，切换到AprProtocol：

  <Connector port="443" protocol="org.apache.coyote.http11.Http11AprProtocol"
             maxThreads="150" SSLEnabled="true">
      <SSLHostConfig>
          <Certificate certificateKeyFile="conf/your-private-key.key"
                       certificateFile="conf/your-cert.crt"
                       certificateChainFile="conf/your-chain.crt"
                       type="RSA" />
          <Protocols>TLSv1.0,TLSv1.1,TLSv1.2</Protocols>
      </SSLHostConfig>
  </Connector>
  

• 只要OpenSSL版本符合要求，TLS_FALLBACK_SCSV会自动启用，无需额外配置参数。

验证配置 #

重启Tomcat后，再次通过SSL Labs扫描服务器，确认TLS_FALLBACK_SCSV已标记为支持。

内容的提问来源于stack exchange，提问作者test engine