Question

我有一个RabbitMQ服务器（带有Erlang OTP 18.1的RabbitMQ版本3.6.0），它只支持TLSv1.2和密码{ecdhe_ecdsa，aes_256_cbc，sha384}。我正在尝试使用AMQP从Java客户端连接到它。源代码如下所示：

final SSLContext context = SSLContext.getInstance("TLSv1.2");
context.init(keyManagerFactory.getKeyManagers(), trustManagerFactory.getTrustManagers(), null);
SSLContext.setDefault(context);
final String[] enabledCipherSuites = { "TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384" };
final SSLParameters defaultParams = context.getDefaultSSLParameters();
defaultParams.setCipherSuites(enabledCipherSuites);
final SSLParameters supportedParams = context.getSupportedSSLParameters();
supportedParams.setCipherSuites(enabledCipherSuites);

ConnectionFactory factory = new ConnectionFactory();
factory.useSslProtocol(context);
factory.setHost(RABBITMQ_ADMIN_HOST);
factory.setPort(RABBITMQ_CLIENT_PORT_SSL);
factory.setUsername(RABBITMQ_ADMIN_USER);
factory.setPassword(RABBITMQ_ADMIN_PWD);
return factory.newConnection();

这是RabbitMQ配置文件中的一个片段：

{ssl_options, [{cacertfile, "cacert.pem"},
    {certfile, "cert.pem"},
    {keyfile, "key.pem"},
    {verify, verify_peer},
    {versions, ['tlsv1.2']},
    {ciphers, [{ecdhe_ecdsa,aes_256_cbc,sha384}]},
    {fail_if_no_peer_cert, true}]}

问题是，当客户端尝试连接到服务器时，服务器不允许连接，并出现以下错误：

=ERROR REPORT==== 4-Aug-2016::23:15:24 ===
SSL: hello: tls_handshake.erl:167:Fatal error: insufficient security

在客户端，我们看到抛出的Java异常如下所示：

Received fatal alert: insufficient_security
Thread-1 sun.security.ssl.Alerts.getSSLException(Alerts.java:192),
sun.security.ssl.Alerts.getSSLException(Alerts.java:154),
sun.security.ssl.SSLSocketImpl.recvAlert(SSLSocketImpl.java:1991),
sun.security.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:1098),
sun.security.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1344),
sun.security.ssl.SSLSocketImpl.writeRecord(SSLSocketImpl.java:721),
sun.security.ssl.AppOutputStream.write(AppOutputStream.java:122),
java.io.BufferedOutputStream.flushBuffer(BufferedOutputStream.java:82),
java.io.BufferedOutputStream.flush(BufferedOutputStream.java:140),
java.io.DataOutputStream.flush(DataOutputStream.java:123),
com.rabbitmq.client.impl.SocketFrameHandler.sendHeader(SocketFrameHandler.java:129),
com.rabbitmq.client.impl.SocketFrameHandler.sendHeader(SocketFrameHandler.java:134),
com.rabbitmq.client.impl.AMQConnection.start(AMQConnection.java:277),
com.rabbitmq.client.ConnectionFactory.newConnection(ConnectionFactory.java:678),
com.rabbitmq.client.ConnectionFactory.newConnection(ConnectionFactory.java:722)

这里有趣的是，尽管在默认和支持的ssl参数中设置了修改过的密码套件，但当我们记录支持的和默认的密码套件时，它会显示其他一些不应该被允许的内容！我使用以下附加Java命令行参数启动客户端：

-Dhttps.protocols=TLSv1.2 
-Dhttps.cipherSuites=TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 
-Ddeployment.security.TLSv1.2=true 
-Ddeployment.security.TLSv1.1=false 
-Ddeployment.security.SSLv3=false

另外，在启动客户端时，我记录了启用和默认的密码套件。它显示了一整套密码套件，而不仅仅是我指定的密码套件。

有人可以帮我弄清楚如何解决这个问题吗？任何可以帮我调试的指针都会非常有用。

Answer 1

问题可能与Centos上的ECDHE有关，请看这篇文章： https://www.internetstaff.com/enable-elliptical-curve-diffie-hellman-ecdhe-linux/

问题在于Diffie-Hellman算法非常慢。这个可以通过使用Elliptical Curve Diffie-Hellman在很大程度上抵消（ECDHE）。 Red Hat / CentOS / Fedora / Amazon Linux的问题用户是Red Hat故意禁用ECDHE密码（其中包括因为他们不确定围绕他们的专利问题。

我建议您阅读：http://erlang.org/pipermail/erlang-questions/2013-December/076322.html

以及这个（我的）主题：http://erlang.org/pipermail/erlang-questions/2016-July/089797.html

我解决了类似的问题，避免使用ECDHE密码客户端。

无法使用Java 7中的TLSv1.2连接到RabbitMQ服务器

1 个答案: