Google App Engine Java是否支持TLS>；1

我们在谷歌应用程序引擎上有一个Java应用程序。我们使用谷歌的自定义域和SSL支持。最近的一次安全审计发现，我们需要解决与SSL配置相关的两个问题：

1） 服务器端SSL/TLS端点配置为允许弱SSL/TLS密码套件。具体而言：块大小为112位的分组密码-在CBC模式下使用分组密码（例如AES、3DES）的DES、3DES和密码套件

2） 服务器端SSL/TLS端点配置为允许使用TLS协议版本1.0（“TLSv1.0”）进行连接，该版本包含已知的弱点

看看appengine文档，我相信这两个都超出了我们对appengine环境的控制范围。因此，除非我们在App Engine前面放置不同的负载平衡器或SSL终止点（例如，可能是CloudFlare或我们自己的自定义实例），否则我们无法更改它们

我的问题是，是否有任何方法可以控制App Engine中的SSL和TLS设置，如果没有，将CloudFlare（或其他代理）放在它前面的最佳替代方案是什么

---

或者，如果谷歌对这些安全漏洞有合理的辩护/解释，我可以用它来辩护谷歌目前对应用程序引擎应用程序的配置。

我从两位非常有用的GCE工程师那里得到了回复，其要点是：

“这些设置与提供大多数Google服务的服务器共享，以平衡客户端兼容性与现代最佳实践”

“[App Engine]运行我们的标准GFE配置”

“虽然我们不赞成我们所能做到的，但我们必须在兼容性方面取得平衡。现代浏览器不允许降低TLS连接的配置，因此支持TLS 1.0等较旧协议不会影响它们。”

因此，基本上，这对谷歌来说已经足够好了，他们的安全团队正在根据许多因素做出安全选择——他们认为合适的话，他们会反对旧版本