Cette page explique comment configurer TLS 1.3 dans les processeurs de messages Apigee pour le trafic "Direction sud" (trafic entre le processeur de messages et le serveur backend).
Pour en savoir plus sur la fonctionnalité TLS 1.3 en Java, consultez Notes de version de la mise à jour de JDK 8u261
La procédure d'activation de TLS 1.3 dépend de la version de Java que vous utilisez. Voir <ph type="x-smartling-placeholder"></ph> Vérifiez la version de Java dans un processeur de messages ci-dessous pour connaître la version de Java installée. dans le processeur de messages.
TLS v1.3 et versions Java
La fonctionnalité TLS 1.3 a été introduite dans les versions suivantes de Java:
- Oracle JDK 8u261
- OpenJDK 8u272
Dans les versions Java suivantes, la fonctionnalité TLS v1.3 existe, mais n'est pas activée par défaut. dans des rôles de client:
- JDK Oracle 8u261 ou version ultérieure, mais inférieur au JDK Oracle 8u341
- OpenJDK 8u272 ou version ultérieure, mais inférieur à OpenJDK 8u352
Si vous utilisez l'une de ces versions, vous devez activer TLS v1.3, comme décrit ci-dessous. dans Comment activer TLS v1.3 lorsqu'il n'est pas activé par défaut.
Si vous utilisez l'une des versions suivantes, TLS v1.3 devrait déjà être activé par défaut. dans des rôles client (le processeur de messages agit comme un client pour les connexions TLS "South" (Sud), aucune action n'est requise de votre part:
- Oracle JDK 8u341 ou version ultérieure
- OpenJDK 8u352 ou version ultérieure
Pour que TLS v1.3 fonctionne, toutes les conditions suivantes doivent être remplies:
- Java sous-jacent sur le processeur de messages doit prendre en charge TLS v1.3.
- TLS v1.3 doit être activé en Java sur le processeur de messages.
- TLS v1.3 doit être activé dans l'application Processeur de messages.
Comment activer TLS v1.3 en Java lorsqu'il n'est pas activé par défaut
Cette section explique comment activer TLS v1.3 si vous utilisez l'un des éléments suivants de Java:
- JDK Oracle 8u261 ou version ultérieure, mais inférieur au JDK Oracle 8u341
- OpenJDK 8u272 ou version ultérieure, mais inférieur à OpenJDK 8u352
Dans le processeur de messages, définissez la propriété Java jdk.tls.client.protocols.
Les valeurs sont séparées par des virgules et peuvent contenir un ou plusieurs des éléments suivants :
TLSv1, TLSv1.1, TLSv1.2, TLSv1.3 et
SSLv3
Par exemple, si vous définissez -Djdk.tls.client.protocols=TLSv1.2,TLSv1.3, le client
protocoles TLSv1.2 et TLSv1.3.
Voir pour Modifier Propriétés JVM à comment définir les propriétés de la JVM dans un composant Edge.
Pour activer les protocoles TLS v1, 1.1, v1.2 et v1.3:
- Définissez la configuration suivante dans
le fichier de configuration du processeur de messages
(
/opt/apigee/customer/application/message-processor.properties):bin_setenv_ext_jvm_opts=-Djdk.tls.client.protocols=TLSv1,TLSv1.1,TLSv1.2,TLSv1.3
- Redémarrez le processeur de messages.
Comment désactiver TLS v1.3 lorsqu'il est activé par défaut
Si vous utilisez Oracle JDK 8u341 ou version ultérieure, ou OpenJDK 8u352 ou version ultérieure, TLSv1.3 est activé par par défaut pour les clients. Si vous souhaitez désactiver TLS v1.3 dans de tels cas, deux options s'offrent à vous:
- Configurez les informations SSLInfo de votre serveur cible et assurez-vous que TLSv1.3 n'est pas mentionné dans le champ des protocoles existants. Voir <ph type="x-smartling-placeholder"></ph> Éléments de configuration du point de terminaison cible TLS/SSL Remarque:Si aucun protocole n'est spécifié dans la configuration du serveur cible, le pris en charge par Java seront envoyées en tant qu'options lors du handshake client.
- Désactivez TLS v1.3 dans le processeur de messages en désactivant complètement le protocole. Voir <ph type="x-smartling-placeholder"></ph> Définissez le protocole TLS sur le processeur de messages.
Vérifier la version de Java dans un processeur de messages
Pour vérifier la version de Java installée dans un processeur de messages, connectez-vous à ce processeur. et exécutez la commande suivante:
java -version
L'exemple de résultat ci-dessous montre qu'OpenJDK 8u312 est installé.
$ java -version openjdk version "1.8.0_312" OpenJDK Runtime Environment (build 1.8.0_312-b07) OpenJDK 64-Bit Server VM (build 25.312-b07, mixed mode)
Algorithmes de chiffrement compatibles
À l'heure actuelle, Java 8 prend en charge deux algorithmes de chiffrement TLS v1.3:
- TLS_AES_256_GCM_SHA384
- TLS_AES_128_GCM_SHA256
Vous pouvez utiliser openssl pour vérifier si votre serveur cible est compatible avec TLS v1.3 et au moins l'un des
les chiffrements ci-dessus
en utilisant ci-dessous. Notez que cet exemple utilise l'utilitaire openssl11, qui a
TLS v1.3 activé.
$ openssl11 s_client -ciphersuites "TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256" -connect target_host:target_port -tls1_3