Peringatan jabat tangan SSL: kesalahan nama yang tidak dikenal sejak peningkatan ke Java 1.7.0

Saya memutakhirkan dari Java 1.6 ke Java 1.7 hari ini. Sejak itu terjadi kesalahan ketika saya mencoba membuat koneksi ke server web saya melalui SSL:

javax.net.ssl.SSLProtocolException: handshake alert:  unrecognized_name
    at sun.security.ssl.ClientHandshaker.handshakeAlert(ClientHandshaker.java:1288)
    at sun.security.ssl.SSLSocketImpl.recvAlert(SSLSocketImpl.java:1904)
    at sun.security.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:1027)
    at sun.security.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1262)
    at sun.security.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1289)
    at sun.security.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1273)
    at sun.net.www.protocol.https.HttpsClient.afterConnect(HttpsClient.java:523)
    at sun.net.www.protocol.https.AbstractDelegateHttpsURLConnection.connect(AbstractDelegateHttpsURLConnection.java:185)
    at sun.net.www.protocol.http.HttpURLConnection.getInputStream(HttpURLConnection.java:1296)
    at sun.net.www.protocol.https.HttpsURLConnectionImpl.getInputStream(HttpsURLConnectionImpl.java:254)
    at java.net.URL.openStream(URL.java:1035)

Ini kodenya:

SAXBuilder builder = new SAXBuilder();
Document document = null;

try {
    url = new URL(https://some url);
    document = (Document) builder.build(url.openStream());
} catch (NoSuchAlgorithmException ex) {
    Logger.getLogger(DownloadLoadiciousComputer.class.getName()).log(Level.SEVERE, null, ex);  
}

Ini hanya proyek pengujian, itulah sebabnya saya mengizinkan dan menggunakan sertifikat yang tidak dipercaya dengan kode:

TrustManager[] trustAllCerts = new TrustManager[]{
    new X509TrustManager() {

        public java.security.cert.X509Certificate[] getAcceptedIssuers() {
            return null;
        }

        public void checkClientTrusted(
                java.security.cert.X509Certificate[] certs, String authType) {
        }

        public void checkServerTrusted(
                java.security.cert.X509Certificate[] certs, String authType) {
        }
    }
};

try {

    SSLContext sc = SSLContext.getInstance("SSL");
    sc.init(null, trustAllCerts, new java.security.SecureRandom());
    HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());
} catch (Exception e) {

    Logger.getLogger(DownloadManager.class.getName()).log(Level.SEVERE, null, e);
} 

Saya berhasil mencoba terhubung ke https://google.com . dimana salahku?

Terima kasih.

Java 7 memperkenalkan dukungan SNI yang diaktifkan secara default. Saya telah menemukan bahwa beberapa server yang salah konfigurasi mengirimkan peringatan "Nama Tidak Dikenal" di jabat tangan SSL yang diabaikan oleh sebagian besar klien ... kecuali untuk Java. Seperti @Bob Kerns sebutkan, para insinyur Oracle menolak untuk "memperbaiki" bug / fitur ini.

Sebagai solusi, mereka menyarankan untuk mengatur jsse.enableSNIExtensionproperti. Agar program Anda berfungsi tanpa kompilasi ulang, jalankan aplikasi Anda sebagai:

java -Djsse.enableSNIExtension=false yourClass

Properti juga dapat diatur dalam kode Java, tetapi harus diatur sebelum tindakan SSL apa pun . Setelah pustaka SSL memuat, Anda dapat mengubah properti, tetapi tidak akan berpengaruh pada status SNI . Untuk menonaktifkan SNI saat runtime (dengan batasan yang disebutkan di atas), gunakan:

System.setProperty("jsse.enableSNIExtension", "false");

Kerugian dari pengaturan tanda ini adalah bahwa SNI dinonaktifkan di mana-mana dalam aplikasi. Untuk menggunakan SNI dan masih mendukung server yang salah konfigurasi:

1. Buat SSLSocketdengan nama host yang ingin Anda sambungkan. Sebutkan ini sslsock.
2. Coba lari sslsock.startHandshake(). Ini akan memblokir sampai selesai atau membuat pengecualian kesalahan. Setiap kali kesalahan terjadi startHandshake(), dapatkan pesan pengecualian. Jika sama dengan handshake alert: unrecognized_name, maka Anda telah menemukan server yang salah konfigurasi.
3. Ketika Anda telah menerima unrecognized_nameperingatan (fatal di Jawa), coba ulangi pembukaan SSLSocket, tetapi kali ini tanpa nama host. Ini secara efektif menonaktifkan SNI (setelah semua, ekstensi SNI adalah tentang menambahkan nama host ke pesan ClientHello).

Untuk proksi SSL Webscarab, komitmen ini mengimplementasikan pengaturan mundur.

Saya memiliki apa yang saya yakini masalah yang sama. Saya menemukan bahwa saya perlu menyesuaikan konfigurasi Apache untuk memasukkan ServerName atau ServerAlias ​​untuk host.

Kode ini gagal:

public class a {
   public static void main(String [] a) throws Exception {
      java.net.URLConnection c = new java.net.URL("https://mydomain.com/").openConnection();
      c.setDoOutput(true);
      c.getOutputStream();
   }
}

Dan kode ini berfungsi:

public class a {
   public static void main(String [] a) throws Exception {
      java.net.URLConnection c = new java.net.URL("https://google.com/").openConnection();
      c.setDoOutput(true);
      c.getOutputStream();
   }
}

Wireshark mengungkapkan bahwa selama TSL / SSL Hello Alert peringatan (Level: Peringatan, Deskripsi: Nama Tidak Dikenali), Server Hello sedang dikirim dari server ke klien. Itu hanya peringatan, namun, Java 7.1 kemudian segera merespons kembali dengan "Fatal, Deskripsi: Pesan Tak Terduga", yang saya anggap berarti perpustakaan SSL Java tidak suka melihat peringatan nama yang tidak dikenal.

Dari Wiki di Transport Layer Security (TLS):

112 Hanya TLS peringatan nama yang tidak dikenal; Indikator Nama Server klien menentukan nama host yang tidak didukung oleh server

Ini mengarahkan saya untuk melihat file konfigurasi Apache saya dan saya menemukan bahwa jika saya menambahkan ServerName atau ServerAlias ​​untuk nama yang dikirim dari sisi klien / java, itu berfungsi dengan benar tanpa kesalahan.

<VirtualHost mydomain.com:443>
  ServerName mydomain.com
  ServerAlias www.mydomain.com

Anda dapat menonaktifkan pengiriman catatan SNI dengan properti System jsse.enableSNIExtension = false.

Jika Anda dapat mengubah kode, sebaiknya gunakan SSLCocketFactory#createSocket()(tanpa parameter host atau dengan soket yang terhubung). Dalam hal ini tidak akan mengirim indikasi server_name.

Kami juga mengalami kesalahan ini pada build server Apache baru.

Memperbaiki dalam kasus kami adalah untuk mendefinisikan ServerAliasdi httpd.confyang sesuai dengan nama host yang mencoba terhubung ke Jawa. Kami ServerNameditetapkan ke nama host internal. Sertifikat SSL kami menggunakan nama host eksternal, tetapi itu tidak cukup untuk menghindari peringatan.

Untuk membantu debug, Anda dapat menggunakan perintah ssl ini:

openssl s_client -servername <hostname> -connect <hostname>:443 -state

Jika ada masalah dengan nama host itu, maka itu akan mencetak pesan ini di dekat bagian atas output:

SSL3 alert read: warning:unrecognized name

Saya juga harus mencatat bahwa kami tidak mendapatkan kesalahan itu ketika menggunakan perintah itu untuk terhubung ke nama host internal, meskipun itu tidak cocok dengan sertifikat SSL.

Alih-alih mengandalkan mekanisme host virtual default di apache, Anda dapat menentukan satu virtualhost catchall terakhir yang menggunakan ServerName sewenang-wenang dan wildcard ServerAlias, misalnya

ServerName catchall.mydomain.com
ServerAlias *.mydomain.com

Dengan cara itu Anda dapat menggunakan SNI dan apache tidak akan mengirim kembali peringatan SSL.

Tentu saja, ini hanya berfungsi jika Anda dapat menggambarkan semua domain Anda dengan mudah menggunakan sintaks wildcard.

Itu harus bermanfaat. Untuk mencoba lagi kesalahan SNI di Apache HttpClient 4.4 - cara termudah yang kami buat (lihat HTTPCLIENT-1522 ):

public class SniHttpClientConnectionOperator extends DefaultHttpClientConnectionOperator {

    public SniHttpClientConnectionOperator(Lookup<ConnectionSocketFactory> socketFactoryRegistry) {
        super(socketFactoryRegistry, null, null);
    }

    @Override
    public void connect(
            final ManagedHttpClientConnection conn,
            final HttpHost host,
            final InetSocketAddress localAddress,
            final int connectTimeout,
            final SocketConfig socketConfig,
            final HttpContext context) throws IOException {
        try {
            super.connect(conn, host, localAddress, connectTimeout, socketConfig, context);
        } catch (SSLProtocolException e) {
            Boolean enableSniValue = (Boolean) context.getAttribute(SniSSLSocketFactory.ENABLE_SNI);
            boolean enableSni = enableSniValue == null || enableSniValue;
            if (enableSni && e.getMessage() != null && e.getMessage().equals("handshake alert:  unrecognized_name")) {
                TimesLoggers.httpworker.warn("Server received saw wrong SNI host, retrying without SNI");
                context.setAttribute(SniSSLSocketFactory.ENABLE_SNI, false);
                super.connect(conn, host, localAddress, connectTimeout, socketConfig, context);
            } else {
                throw e;
            }
        }
    }
}

dan

public class SniSSLSocketFactory extends SSLConnectionSocketFactory {

    public static final String ENABLE_SNI = "__enable_sni__";

    /*
     * Implement any constructor you need for your particular application -
     * SSLConnectionSocketFactory has many variants
     */
    public SniSSLSocketFactory(final SSLContext sslContext, final HostnameVerifier verifier) {
        super(sslContext, verifier);
    }

    @Override
    public Socket createLayeredSocket(
            final Socket socket,
            final String target,
            final int port,
            final HttpContext context) throws IOException {
        Boolean enableSniValue = (Boolean) context.getAttribute(ENABLE_SNI);
        boolean enableSni = enableSniValue == null || enableSniValue;
        return super.createLayeredSocket(socket, enableSni ? target : "", port, context);
    }
}

dan

cm = new PoolingHttpClientConnectionManager(new SniHttpClientConnectionOperator(socketFactoryRegistry), null, -1, TimeUnit.MILLISECONDS);

Menggunakan:

• System.setProperty ("jsse.enableSNIExtension", "false");
• Mulai ulang Tomcat Anda (penting)

Mengalami masalah ini dengan spring boot dan jvm 1.7 dan 1.8. Pada AWS, kami tidak memiliki opsi untuk mengubah ServerName dan ServerAlias ​​agar sesuai (mereka berbeda) sehingga kami melakukan yang berikut:

Di build.gradle kami menambahkan yang berikut:

System.setProperty("jsse.enableSNIExtension", "false")
bootRun.systemProperties = System.properties

Itu memungkinkan kami untuk mengatasi masalah dengan "Nama Tidak Dikenal".

Sayangnya, Anda tidak dapat memasok properti sistem ke alat jarsigner.exe.

Saya telah mengirimkan defect 7177232 , mereferensikan defect @eckes 7127374 dan menjelaskan mengapa itu ditutup karena kesalahan.

Cacat saya secara khusus tentang dampak pada alat jarsigner, tapi mungkin itu akan menyebabkan mereka membuka kembali cacat lainnya dan mengatasi masalah dengan benar.

PEMBARUAN: Sebenarnya, Anda BISA memasok properti sistem ke alat Jarsigner, hanya saja tidak ada dalam pesan bantuan. Menggunakanjarsigner -J-Djsse.enableSNIExtension=false

Saya mengalami masalah yang sama dan ternyata reverse dns tidak diatur dengan benar, itu menunjuk ke nama host yang salah untuk IP. Setelah saya memperbaiki dns terbalik dan memulai kembali httpd, peringatan itu hilang. (jika saya tidak memperbaiki dns terbalik, menambahkan ServerName juga membantu saya)

Saya VirtualHost's ServerNameitu komentar secara default. Itu bekerja setelah komentar.

Jika Anda membangun klien dengan Resttemplate, Anda hanya dapat mengatur titik akhir seperti ini: https: // IP / path_to_service dan mengatur requestFactory.
Dengan solusi ini Anda tidak perlu RESTART TOMCAT atau Apache Anda:

public static HttpComponentsClientHttpRequestFactory requestFactory(CloseableHttpClient httpClient) {
    TrustStrategy acceptingTrustStrategy = new TrustStrategy() {
        @Override
        public boolean isTrusted(X509Certificate[] chain, String authType) throws CertificateException {
            return true;
        }
    };

    SSLContext sslContext = null;
    try {
        sslContext = org.apache.http.ssl.SSLContexts.custom()
                .loadTrustMaterial(null, acceptingTrustStrategy)
                .build();
    } catch (Exception e) {
        logger.error(e.getMessage(), e);
    }   

    HostnameVerifier hostnameVerifier = new HostnameVerifier() {
        @Override
        public boolean verify(String hostname, SSLSession session) {
            return true;
        }
    };

    final SSLConnectionSocketFactory csf = new SSLConnectionSocketFactory(sslContext,hostnameVerifier);

    final Registry<ConnectionSocketFactory> registry = RegistryBuilder.<ConnectionSocketFactory>create()
            .register("http", new PlainConnectionSocketFactory())
            .register("https", csf)
            .build();

    final PoolingHttpClientConnectionManager cm = new PoolingHttpClientConnectionManager(registry);
    cm.setMaxTotal(100);
    httpClient = HttpClients.custom()
            .setSSLSocketFactory(csf)
            .setConnectionManager(cm)
            .build();

    HttpComponentsClientHttpRequestFactory requestFactory =
            new HttpComponentsClientHttpRequestFactory();

    requestFactory.setHttpClient(httpClient);

    return requestFactory;
}

Saya juga menemukan masalah ini sementara meningkatkan dari Java 1.6_29 ke 1.7.

Yang mengkhawatirkan, pelanggan saya telah menemukan pengaturan di panel kontrol Java yang menyelesaikan ini.

Di Tab Tingkat Lanjut Anda dapat memeriksa 'Gunakan format ClientHello yang kompatibel dengan SSL 2.0'.

Ini sepertinya menyelesaikan masalah.

Kami menggunakan applet Java di browser Internet Explorer.

Semoga ini membantu.

Saya memiliki masalah yang sama dengan server Linux Ubuntu menjalankan subversi ketika diakses melalui Eclipse.

Itu telah menunjukkan bahwa masalahnya ada pada peringatan ketika Apache (re) mulai:

[Mon Jun 30 22:27:10 2014] [warn] NameVirtualHost *:80 has no VirtualHosts

... waiting [Mon Jun 30 22:27:11 2014] [warn] NameVirtualHost *:80 has no VirtualHosts

Ini karena entri baru ports.conf, di mana NameVirtualHostarahan lain dimasukkan di samping arahan dalam sites-enabled/000-default.

Setelah menghapus arahan dalam ports.conf, masalah telah hilang (setelah me-restart Apache, tentu saja)

Tambahkan saja solusinya di sini. Ini mungkin membantu bagi pengguna LAMP

Options +FollowSymLinks -SymLinksIfOwnerMatch

Baris yang disebutkan di atas dalam konfigurasi virtual host adalah penyebabnya.

Konfigurasi Host Virtual ketika kesalahan

<VirtualHost *:80>
    DocumentRoot /var/www/html/load/web
    ServerName dev.load.com
    <Directory "/var/www/html/load/web">
        Options +FollowSymLinks -SymLinksIfOwnerMatch
        AllowOverride All
        Require all granted
        Order Allow,Deny
        Allow from All
    </Directory>
     RewriteEngine on
     RewriteCond %{SERVER_PORT} !^443$
     RewriteRule ^/(.*) https://%{HTTP_HOST}/$1 [NC,R=301,L]
</VirtualHost>

Konfigurasi Kerja

<VirtualHost *:80>
    DocumentRoot /var/www/html/load/web

   ServerName dev.load.com
   <Directory "/var/www/html/load/web">

        AllowOverride All

        Options All

        Order Allow,Deny

        Allow from All

    </Directory>

    # To allow authorization header
    RewriteEngine On
    RewriteCond %{HTTP:Authorization} ^(.*)
    RewriteRule .* - [e=HTTP_AUTHORIZATION:%1]

   # RewriteCond %{SERVER_PORT} !^443$
   # RewriteRule ^/(.*) https://%{HTTP_HOST}/$1 [NC,R=301,L]


</VirtualHost>

Berikut ini adalah solusi untuk Appache httpclient 4.5.11. Saya punya masalah dengan cert yang telah ditandai wildcarded *.hostname.com. Itu mengembalikan saya pengecualian yang sama, tapi saya tidak menggunakan penonaktifan oleh properti System.setProperty("jsse.enableSNIExtension", "false");karena itu membuat kesalahan pada klien lokasi Google.

Saya menemukan solusi sederhana (hanya memodifikasi soket):

import io.micronaut.context.annotation.Bean;
import io.micronaut.context.annotation.Factory;
import org.apache.http.client.HttpClient;
import org.apache.http.conn.ssl.NoopHostnameVerifier;
import org.apache.http.conn.ssl.SSLConnectionSocketFactory;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.ssl.SSLContexts;

import javax.inject.Named;
import javax.net.ssl.SSLParameters;
import javax.net.ssl.SSLSocket;
import java.io.IOException;
import java.util.List;

@Factory
public class BeanFactory {

    @Bean
    @Named("without_verify")
    public HttpClient provideHttpClient() {
        SSLConnectionSocketFactory connectionSocketFactory = new SSLConnectionSocketFactory(SSLContexts.createDefault(), NoopHostnameVerifier.INSTANCE) {
            @Override
            protected void prepareSocket(SSLSocket socket) throws IOException {
                SSLParameters parameters = socket.getSSLParameters();
                parameters.setServerNames(List.of());
                socket.setSSLParameters(parameters);
                super.prepareSocket(socket);
            }
        };

        return HttpClients.custom()
                .setSSLSocketFactory(connectionSocketFactory)
                .build();
    }


}

Ada cara yang lebih mudah di mana Anda bisa menggunakan HostnameVerifier Anda sendiri untuk mempercayai koneksi tertentu secara implisit. Masalahnya datang dengan Java 1.7 di mana ekstensi SNI telah ditambahkan dan kesalahan Anda adalah karena kesalahan konfigurasi server.

Anda dapat menggunakan "-Djsse.enableSNIExtension = false" untuk menonaktifkan SNI di seluruh JVM atau membaca blog saya di mana saya menjelaskan cara menerapkan verifikasi kustom di atas koneksi URL.