Linux下修改Java 8的java.security禁用弱RSA cipher未生效求助

1. 确认目标java.security文件路径 #

首先确保你修改的是应用实际使用的JDK对应的配置文件，Java 8的该文件默认路径为：

$JAVA_HOME/jre/lib/security/java.security

可以通过以下方式验证应用使用的JDK：

• 查看应用进程启动参数：ps aux | grep java，定位对应的JVM路径
• 执行echo $JAVA_HOME确认环境变量指向的JDK

2. 修正配置项 #

在java.security文件中，找到以下两个配置项并更新：

（1）jdk.tls.disabledAlgorithms #

确保该条目包含RSA keySize <= 1024，示例配置：

jdk.tls.disabledAlgorithms=SSLv3, TLSv1, TLSv1.1, RSA keySize <= 1024, DH keySize <= 1024, EC keySize <= 256

注意：keySize为小写，符号使用<=，且配置项不要被注释（去掉开头的#）。

（2）jdk.certpath.disabledAlgorithms #

同时更新该条目，避免证书路径验证中使用弱RSA算法，示例：

jdk.certpath.disabledAlgorithms=MD2, MD5, RSA keySize <= 1024, DSA keySize <= 1024

3. 验证配置生效 #

修改完成后必须重启应用，然后通过以下方式验证：

• 启用JVM SSL调试日志，启动应用时添加参数：

  -Djavax.net.debug=ssl:handshake
  

  查看日志中握手阶段的算法信息，确认没有使用密钥长度≤1024的RSA套件。
• 使用openssl s_client连接应用的SSL端口，查看协商的密码套件：

  openssl s_client -connect your-app-host:port
  

  输出中会显示使用的Cipher Suite，确认无弱RSA套件（如TLS_RSA_WITH_AES_128_CBC_SHA等）。

4. 排查常见问题 #

• 错误的配置文件：如果修改后仍不生效，检查应用是否使用了其他JDK，比如系统默认JDK和应用指定的JDK不一致。
• 代码硬编码覆盖配置：部分应用会自定义SSLContext或密码套件列表，忽略系统配置。此时需要修改应用代码，移除包含弱RSA的密码套件，或改为使用默认SSL上下文。
• 配置格式错误：检查keySize的大小写、符号是否正确，配置项是否被注释。

内容的提问来源于stack exchange，提问作者Karun Ch