Question

我正在读取SSL套接字，但主机与证书不匹配（例如host = "localhost"）。我希望这个例外，但下面的代码很高兴地与远程服务器进行对话，没有任何问题。

try (
    final Socket socket = SSLSocketFactory.getDefault().createSocket(host, port);
    final OutputStream os = socket.getOutputStream();
    final InputStream is = socket.getInputStream()) {

    os.write(("HEAD / HTTP/1.1\r\nHost: " + host + "\r\nConnection: close\r\n\r\n").getBytes());
    os.flush();

    final byte[] bytes = new byte[1024];
    int n;
    while ((n = is.read(bytes)) != -1) {
        System.out.print(new String(bytes, 0, n));
    }
    System.out.println();
} catch (final IOException e) {
    // TODO Auto-generated catch block
    e.printStackTrace();
}

因此我尝试了另一种方法：

try {
    final HttpURLConnection conn = (HttpURLConnection) new URL("https://" + host + ":" + port + "/").openConnection();

    try (InputStream is = conn.getInputStream()) {
        IOUtils.copy(is, System.out);
    } catch (final IOException e1) {
        try (InputStream es = conn.getErrorStream()) {
            if (es != null) {
                IOUtils.copy(es, System.out);
            }
        }
    }
} catch (final IOException e) {
    // TODO Auto-generated catch block
    e.printStackTrace();
}

不幸的是，我仍然没有获得SSL异常，只是日志中的WARN： 2013-07-31 16:02:27,182 WARN nio - javax.net.ssl.SSLException: Received fatal alert: certificate_unknown

如果证书不匹配，如何获取SSL异常？

Answer 1

SSL / TLS协议规范是模块化的，与用于验证远程主机的规范分离。这些其他规范分为两类：验证证书本身是否可信（RFC 3280/5280）和验证证书中的身份（RFC 6125或RFC 2818 for HTTPS）。

JSSE在SSLSocket（或SSLEngine）API中集成了SSL协议和证书验证，但没有处理标识符的验证（这同样重要）。< / p>

这主要是因为SSLSocket / SSLEngine可以应用于任何应用程序协议（例如HTTP，IMAP，SMTP，LDAP，...），但是验证标识符有不同的规格（变化很小），直到RFC 6125（现在还很新）。

HttpsURLConnection处理两者，因为它也使用HostnameVerifier，它遵循HTTPS规范（RFC 2818，第3.1节）。这与SSLSocket / SSLEngine API分开完成。对于其他协议，您可能需要实现协议规范所说的内容。

这就是说，自Java 7以来，有一种机制可以直接验证证书的身份，作为SSLSocket / SSLEngine API的一部分。

SSLParameters sslParams = new SSLParameters();
sslParams.setEndpointIdentificationAlgorithm("HTTPS");
sslSocket.setSSLParameters(sslParams);

如果主机名不匹配，使用它会使它抛出异常。

HTTPS与RFC 6125中更统一的规范之间没有重大差异（除了后者认为IP地址超出范围之外）。即使您不使用HTTPS，使用其标识规范通常仍然有意义。（也许“RFC 6125”端点识别算法可能会出现在Java的更高版本中。）

Answer 2

主机名匹配不是SSL的一部分，它是HTTPS的一部分。参见例如javax.net.ssl.HostnameVerifier。

您引用的日志表示HttpsURLConnection抛出了SSLException 。

SSLSocket忽略域不匹配

2 个答案: