Java 11为何忽略TLS_AES_256_GCM_SHA384？如何启用该套件？

为什么Java 11会忽略TLS_AES_256_GCM_SHA384？ #

核心原因有两个：

1. 协议版本不匹配：TLS_AES_256_GCM_SHA384是TLS 1.3专属的密码套件，而你的日志明确显示是在TLSv1.2协议环境下尝试启用它——TLS 1.2的套件列表里根本没有这个条目，因此会被直接忽略。
2. 套件命名规则混淆：你通过OpenSSL查到的AES256-GCM-SHA384是TLS 1.2的套件，但Java对密码套件的命名规则和OpenSSL不同，不能直接照搬OpenSSL的名称。

如何启用目标加密能力？ #

分两种场景处理：

场景1：使用TLS 1.3的TLS_AES_256_GCM_SHA384 #

• 确保应用使用TLS 1.3协议：Java 11默认支持TLS 1.3，若之前被禁用，可通过JVM参数开启：

  -Djdk.tls.client.protocols=TLSv1.3
  

  或在代码中指定SSLContext版本：

  SSLContext sslContext = SSLContext.getInstance("TLSv1.3");
  sslContext.init(null, null, new SecureRandom());
  

• 确认服务端与客户端均支持TLS 1.3，且密码套件列表包含TLS_AES_256_GCM_SHA384（Java 11默认已包含该套件）。

场景2：在TLS 1.2下使用256位AES-GCM加密 #

使用Java标准的TLS 1.2套件名称，对应你查到的OpenSSL条目：

• 对应OpenSSL的AES256-GCM-SHA384，Java中的名称是TLS_RSA_WITH_AES_256_GCM_SHA384
• 对应OpenSSL的ECDHE-RSA-AES256-GCM-SHA384，Java中的名称是TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

配置方式示例：

1. JVM参数方式：

   -Djavax.net.ssl.cipherSuites=TLS_RSA_WITH_AES_256_GCM_SHA384
   

2. 代码配置方式：

   SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
   sslContext.init(keyManagers, trustManagers, new SecureRandom());
   SSLSocket socket = (SSLSocket) sslContext.getSocketFactory().createSocket();
   socket.setEnabledCipherSuites(new String[]{"TLS_RSA_WITH_AES_256_GCM_SHA384"});
   

内容的提问来源于stack exchange，提问作者PatS