Google App Engine Java支持TLS> 1.0

Question

我们在Google App Engine上有一个Java应用程序。我们使用Google的自定义域和SSL支持。最近的安全审计发现了两个需要解决的与SSL配置有关的问题：

1）服务器端SSL/TLS端点配置为允许弱SSL/TLS密码套件。具体来说：块大小为112位的块密码 - 在CBC模式下使用块密码（例如AES，3DES）的DES，3DES和密码套件。

2）服务器侧SSL/TLS端点被配置为允许使用TLS协议版本1.0（“TLSv1.0”），其包含已知的弱点

综观App引擎文档连接，相信无论这些都超出了我们对App Engine环境的控制范围。所以我们不能改变它们，除非我们在App Engine之前放置了不同的负载均衡器或SSL端点（例如CloudFlare，或者我们自己的自定义实例）

我的问题是，有没有办法控制SSL和TLS App Engine中的设置，如果不是，将CloudFlare（或其他代理）放在它前面是最佳选择？或者，如果Google对这些安全弱点有合理的防御/解释，我可以用它来捍卫Google为App Engine应用程序配置的当前配置。

Answer 1

我听到来自两个难以置信的帮助GCE工程师回来了，它的要点是：

“的设置与服务大部分谷歌服务的服务器共享，平衡与现代的最佳做法客户端兼容性”

“[App Engine的]运行我们的标准配置GFE”

“虽然我们不建议使用什么我们能，我们也需要考虑兼容性。现代的浏览器不允许合作配置要降级的TLS连接并支持像TLS 1.0这样的旧协议不会影响它们。“

因此，基本上，Google已经足够好了，他们的安全团队正在根据多种因素做出安全选择 - 因为他们认为他们会认为他们会弃用旧版本。