Jboss 5.1.0 GA（Java6+BouncyCastle）启用TLSv1.2遇阻求助

你已经正确安装了Bouncy Castle的JCE/JSSE提供者，但JBoss默认还是会优先使用Java 6原生的JSSE实现（不支持TLSv1.2），需要调整安全提供者优先级和JBossWeb连接器的配置来解决这个问题。

1. 调整Java安全提供者的加载顺序 #

Java的安全提供者是按配置顺序优先加载的，原生的SunJSSE大概率排在Bouncy Castle前面，导致JBoss不会主动使用支持TLSv1.2的BC实现。修改path_to_jdk/jre/lib/security/java.security文件：

• 找到原生SunJSSE的配置行（通常是security.provider.2=com.sun.net.ssl.internal.ssl.Provider或类似格式）
• 将Bouncy Castle JSSE提供者移到它前面，示例配置如下：

  security.provider.2=org.bouncycastle.jsse.provider.BouncyCastleJsseProvider
  security.provider.3=com.sun.net.ssl.internal.ssl.Provider
  security.provider.10=org.bouncycastle.jce.provider.BouncyCastleProvider
  

  （BouncyCastleProvider保持在后面即可，核心是让JSSE提供者优先于原生实现）

2. 修改JBossWeb连接器配置（server.xml） #

你的现有配置缺少强制指定SSL实现的关键参数，需要补充并调整协议、密码套件的配置：

<Connector
    protocol="HTTP/1.1"
    SSLEnabled="true"
    port="8443"
    address="${jboss.bind.address}"
    keystoreFile="${jboss.server.home.dir}/conf/jboss.pfx"
    keystorePass="password"
    keystoreType="PKCS12" <!-- 明确指定PFX文件的PKCS12格式，避免自动检测出错 -->
    sslEnabledProtocols="TLSv1.2" <!-- 替代sslProtocols，Tomcat/JBossWeb推荐使用这个参数精确控制协议 -->
    ciphers="TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384"
    sslImplementationName="org.bouncycastle.jsse.provider.BCSSLImplementation" <!-- 强制JBoss使用BC的SSL实现 -->
    maxThreads="170"
/>

关键参数说明： #

• sslImplementationName：直接告诉JBossWeb不要用原生JSSE，改用Bouncy Castle的SSL实现
• sslEnabledProtocols：精确限定仅启用TLSv1.2，避免旧版sslProtocols参数的语义模糊问题
• keystoreType：PFX属于PKCS12格式，明确指定可减少证书加载时的异常

3. 验证配置是否生效 #

重启JBoss后，通过以下方式验证：

• 使用openssl命令测试TLSv1.2连接：

  openssl s_client -connect your-server-ip:8443 -tls1_2
  

  查看输出中的Protocol和Cipher Suite字段，确认是否符合预期
• 检查JBoss启动日志，确认是否出现BouncyCastleJsseProvider的加载记录，证明BC已被正确启用

额外注意事项 #

• 确保你的jboss.pfx是ECDSA类型证书：你指定的密码套件仅支持ECDSA证书，如果证书是RSA类型，这些套件无法被协商使用
• 保持BC版本兼容性：你使用的159版本兼容Java 6，若后续出现问题，可尝试同系列的稳定版本
• 避免启动参数覆盖配置：不要用java.security.provider启动参数修改已配置的提供者优先级

内容的提问来源于stack exchange，提问作者azb