强制客户端或服务器重新启动SSL握手（或终止SSL会话）

Question

我有一个客户端（用Java编写），该客户端连接到HTTPS服务器（该服务器也是用Java编写的服务器）。

客户端证书和受信任证书存储在PKI令牌中。 客户端不断向服务器发送一些HTTP请求。一切正常。现在，我想强制客户端（或服务器）重新开始握手。换句话说，我想刷新SSL连接，这会导致定期检查服务器证书。有什么办法吗？例如，是否有任何设置可以定期执行此操作，或者证书中是否存在任何强制服务器/客户端重新开始握手的扩展？

我知道会话超时。但这不会刷新当前连接。它将仅强制新的连接再次进行握手。

Answer 1

证书中没有任何内容可用于实现所需的内容。相反，需要在客户端或服务器上实现这种行为：服务器可以关闭当前连接，并拒绝重用先前的会话，从而导致完整的握手。类似地，客户端可以关闭现有连接，而不重用会话，这再次导致了完整的握手。

理论上，客户端或服务器也可以在现有TCP连接中触发新的握手。但是，端点通常会限制同一TCP连接中此类重新协商的数量，以防止TLS重新协商DoS攻击。