Java7でTLS1.2通信がデフォルトになるよう設定したいです

Question

TomcatでJavaで構築したシステムをLinux環境で動かしています。
Javaのバージョンは7です。

この度、TLS1.2の対応をしなければならなくなりまして（遅い…）、
Javaのバージョンを変えずに外部のAPIにデフォルトでTLS1.2通信をしたいと考えております。
OSはCentOS 6.6です。

下記ページ等でシステムプロパティに「-Dhttps.protocols=TLSv1.1,TLSv1.2」を設定する、
と記載がありますが、そもそもどこに設定したらいいのか…と悩んでおります。

http://developpp.blog.jp/archives/399844.html

サーバ周りのことは初心者です。
もしヒントだけでもご教示いただける方がいらっしゃったらよろしくお願い致します。

Comments

[CHERRY]

tomcat が、直接クライアントからの接続を受けているのですか？ Apache などのProxy が、あるのでしょうか？ サーバーの構成を具体的に示していだだけないでしょうか？

[tn_mrmn]

コメントいただき誠にありがとうございます。理解できている範囲で回答します。Apacheとtomcatで動いております。定期実行でtomcatがJavaを動かしております。

[tacsheaven]

Tomcat 上で動く Servlet から外部のAPIに、TLS 1.2 で通信するんですか？ それとも、Tomcat で動かしているサーバ自体への通信を、TLS 1.2 にしたいのでしょうか？

[tn_mrmn]

コメントいただき誠にありがとうございます。「Tomcat 上で動く Servlet から外部のAPIに、TLS 1.2 で通信する」です。その通りでございます。説明足らずで大変申し訳ございません。

Answer 1

Java 7 ではシステムプロパティ https.protocols を変更することで、HTTPS 通信時に使う SSL プロトコルバージョンを制御できます。
なので、 -Dhttps.protocols="TLS1.2" を「Java VM の起動パラメータ」に入れてやれば、ソースの変更なしに制限ができる、というのが参考にされたページの趣旨です。

Tomcat の起動コマンド（実際には daemon として起動させていると思いますが）に、この記述を入れてやればよいかと思います。

Comments

[tn_mrmn]

tomcatの起動コマンドにパラメータを入れてあげればいいんですね、そういうことだったのですね…
知識不足で理解できませんでした・・・
明日、それで試してやってみます。
またご質問させていただくかもしれませんがその際は宜しくお願い致します。
ありがとうございました。

[tn_mrmn]

以下のsetenv.shを作成し、tomcat/bin/ に配置し、tomcatを再起動しました。

--------------------------------
#!/bin/sh

export JAVA_OPTS="-Dhttps.protocols=TLSv1.1,TLSv1.2 -Djdk.tls.client.protocols=TLSv1.1,TLSv1.2"
--------------------------------

うまく読みこまれてはいるようですがTLS1.2のみ接続が許可された通信先へアクセスを試みると、
「SSLHandshakeException: Remote host closed connection during handshake」というエラーが発生します。

設定のやり方が正しくないのでしょうか…

お手数ですが再度ご教示いただけますと幸いです。