Java SSLHandshakeException на одном сервере, а не на другом?

1

В попытке отладить эту проблему с SSL, появившуюся на одном из наших серверов, я написал очень простую программу для подключения к сайту SSL в нашей интрасети.

    URL authURL = null;
    BufferedReader br = null;
    String url = "https://our.server:443";

    try {
        authURL = new URL(url);
        HttpURLConnection conn = (HttpURLConnection) 
                authURL.openConnection(); 
        conn.setDoOutput(false);
        conn.setDoInput(true);
        conn.setAllowUserInteraction(false);
        conn.setUseCaches(false);
        conn.connect();
    } catch (MalformedURLException urlEx) {
        urlEx.printStackTrace();
    } catch (IOException ex) {
        ex.printStackTrace();
    } finally {
        if (br != null) {
            try { br.close(); }
            catch (IOException e) {}
        }//if
    }//finally

Этот код не работает с SSLHandshakeException на одном из наших серверов, но тот же самый точный код работает без проблем на другом сервере. Я запускал программы с включенной отладкой SSL, и вот результаты каждого сервера

РАБОЧИЙ СЕРВЕР - SLES 11.3, Java IBM 1.6.0 64-разрядный

... no IV used for this cipher
main, WRITE: SSLv3 Change Cipher Spec, length = 1
JsseJCE:  Using cipher RC4 from provider TBD via init
CipherBox:  Using cipher RC4 from provider from init IBMJCE version 1.2
JsseJCE:  Using MAC SslMacSHA1 from provider TBD via init
MAC:  Using MessageDigest SslMacSHA1 from provider IBMJCE version 1.2
*** Finished
verify_data:  { 101, 62, 81, 35, 

13, 178, 124, 13, 43, 0, 5, 248, 32, 15, 39, 244, 97, 96, 98, 227, 1 8, 172, 226, 53, 71, 218, 210, 21, 72, 85, 44, 130, 175, 194, 228, 34 }
***
main, WRITE: SSLv3 Handshake, length = 60
main, READ: SSLv3 Change Cipher Spec, length = 1
JsseJCE:  Using cipher RC4 from provider TBD via init
CipherBox:  Using cipher RC4 from provider from init IBMJCE version 1.2
JsseJCE:  Using MAC SslMacSHA1 from provider TBD via init
MAC:  Using MessageDigest SslMacSHA1 from provider IBMJCE version 1.2
main, READ: SSLv3 Handshake, length = 60
*** Finished
verify_data:  { 160, 27, 2, 24, 10, 15, 205, 204, 241, 225, 183, 150, 243, 244, 43, 107, 40, 112, 173  42, 122, 139, 225, 16, 33, 168, 255, 184, 23, 18, 69, 103, 19, 68, 182, 139 }
***
cached session [Session-1, SSL_RSA_WITH_RC4_128_SHA]
%% Cached client session: [Session-1, SSL_RSA_WITH_RC4_128_SHA]
main, WRITE: SSLv3 Application Data, length = 213
main, READ: SSLv3 Application Data, length = 402

НЕ РАБОЧИЙ СЕРВЕР: Windows 7, Java JDK 1.6.0_39

   ... no IV used for this cipher
main, WRITE: SSLv3 Change Cipher Spec, length = 1
*** Finished
verify_data:  { 235, 130, 222, 201, 56, 225, 104, 77, 87, 210, 63, 16, 196, 223, 123, 231, 173, 146, 111, 102, 99, 214, 20, 244, 138, 79, 217, 140, 10, 61, 167, 9, 222, 95, 247, 208 }
***
main, WRITE: SSLv3 Handshake, length = 60
main, received EOFException: error
main, handling exception: javax.net.ssl.SSLHandshakeException: Remote host closed connection during handshake
main, SEND SSLv3 ALERT:  fatal, description = handshake_failure
main, WRITE: SSLv3 Alert, length = 22
main, called closeSocket()
javax.net.ssl.SSLHandshakeException: Remote host closed connection during handshake
    at com.sun.net.ssl.internal.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:882)
    at com.sun.net.ssl.internal.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1203)
    at com.sun.net.ssl.internal.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1230)
    at com.sun.net.ssl.internal.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1214)
    at sun.net.www.protocol.https.HttpsClient.afterConnect(HttpsClient.java:434)
    at sun.net.www.protocol.https.AbstractDelegateHttpsURLConnection.connect(AbstractDelegateHttpsURLConnection.java:166)
    at sun.net.www.protocol.https.HttpsURLConnectionImpl.connect(HttpsURLConnectionImpl.java:133)
    at test.Main.main(Main.java:43)
Caused by: java.io.EOFException: SSL peer shut down incorrectly
    at com.sun.net.ssl.internal.ssl.InputRecord.read(InputRecord.java:333)
    at com.sun.net.ssl.internal.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:863)
    ... 7 more

Кто-нибудь есть идеи о том, что я могу сделать, чтобы этот простой код работал на моей машине с Windows 7? Я был здесь весь день и довольно потерял в этот момент. Спасибо за любую помощь!

Обновление - запрошенный вывод openssl

Рабочий сервер

CONNECTED(00000003)
depth=3 /C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority
verify return:1
depth=2 /C=US/O=VeriSign, Inc./OU=VeriSign Trust Network/OU=(c) 2006 VeriSign, Inc. - For authorized use only/CN=VeriSign Class 3 Public Primary Certification Authority - G5
verify return:1
depth=1 /C=US/O=Thawte, Inc./CN=Thawte SGC CA - G2
verify return:1
depth=0 /C=US/ST=California/L=Riverside/O=University of California-Riverside/OU=Computing and Communication/CN=example.com
verify return:1
---
Certificate chain
 0 s:/C=US/ST=California/L=Riverside/O=University of California-Riverside/OU=Computing and Communication/CN=example.com
   i:/C=US/O=Thawte, Inc./CN=Thawte SGC CA - G2
 1 s:/C=US/O=Thawte, Inc./CN=Thawte SGC CA - G2
   i:/C=US/O=VeriSign, Inc./OU=VeriSign Trust Network/OU=(c) 2006 VeriSign, Inc. - For authorized use only/CN=VeriSign Class 3 Public Primary Certification Authority - G5
 2 s:/C=US/O=VeriSign, Inc./OU=VeriSign Trust Network/OU=(c) 2006 VeriSign, Inc. - For authorized use only/CN=VeriSign Class 3 Public Primary Certification Authority - G5
   i:/C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority
 3 s:/C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority
   i:/C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority
---

Не работает сервер

    CONNECTED(0000018C)
depth=3 C = US, O = "VeriSign, Inc.", OU = Class 3 Public Primary Certification
Authority
verify error:num=19:self signed certificate in certificate chain
verify return:0
---
Certificate chain
 0 s:/C=US/ST=California/L=Riverside/O=University of California-Riverside/OU=Computing and Communication/CN=example.com
   i:/C=US/O=Thawte, Inc./CN=Thawte SGC CA - G2
 1 s:/C=US/O=Thawte, Inc./CN=Thawte SGC CA - G2
   i:/C=US/O=VeriSign, Inc./OU=VeriSign Trust Network/OU=(c) 2006 VeriSign, Inc.
 - For authorized use only/CN=VeriSign Class 3 Public Primary Certification Authority - G5
 2 s:/C=US/O=VeriSign, Inc./OU=VeriSign Trust Network/OU=(c) 2006 VeriSign, Inc.
 - For authorized use only/CN=VeriSign Class 3 Public Primary Certification Authority - G5
   i:/C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority
 3 s:/C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority
   i:/C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority
---
  • 0
    @jww Обновлено с выводом openssl
Теги:
ssl

1 ответ

1
Лучший ответ

Различные результаты, вероятно, связаны с тем, что хранилище доверия на каждой машине несколько отличается. Здесь я предполагаю, что вы используете свой клиент локально на сервере, поэтому каждый из них использует JVM, доступный локально.

Но это не объясняет нечетную перспективную цепочку...

 0 s:/C=US/ST=California/L=Riverside/O=University of California-Riverside/OU=Computing and Communication/CN=example.com
   i:/C=US/O=Thawte, Inc./CN=Thawte SGC CA - G2
 1 s:/C=US/O=Thawte, Inc./CN=Thawte SGC CA - G2
   i:/C=US/O=VeriSign, Inc./OU=VeriSign Trust Network/OU=(c) 2006 VeriSign, Inc.
 - For authorized use only/CN=VeriSign Class 3 Public Primary Certification Authority - G5
 2 s:/C=US/O=VeriSign, Inc./OU=VeriSign Trust Network/OU=(c) 2006 VeriSign, Inc.
 - For authorized use only/CN=VeriSign Class 3 Public Primary Certification Authority - G5
   i:/C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority
 3 s:/C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority
   i:/C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority

Сертификат 0 является сертификатом сервера, и, очевидно, он должен присутствовать.

Сертификат 1 является промежуточным звеном, необходимым для построения цепочки. Сервер также должен отправить его. Он должен отправить его, чтобы избежать проблемы с каталогом. Это хорошо известная проблема в PKI, и это означает, что клиент не знает, к какому каталогу следует обращаться за отсутствующим сертификатом.

Я не могу найти сертификат 1 в корневых сертификатах Thawte. Сертификатом 1 сертификата является VeriSign Class 3 Public Primary Certification Authority - G5.

Сертификат 2 - это VeriSign Class 3 Public Primary Certification Authority - G5. Из опыта я знаю, что CA, и я не уверен, почему он утверждает, что имеет эмитента.

Вы можете загрузить VeriSign Class 3 Public Primary Certification Authority - G5 из Verisign Root Certifcates. Его имя файла VeriSign-Class-3-Public-Primary-Certification-Authority-G5.pem. Затем:

$ openssl x509 -in VeriSign-Class-3-Public-Primary-Certification-Authority-G5.pem -text -noout
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            18:da:d1:9e:26:7d:e8:bb:4a:21:58:cd:cc:6b:3b:4a
    Signature Algorithm: sha1WithRSAEncryption
        Issuer: C=US, O=VeriSign, Inc., OU=VeriSign Trust Network, OU=(c) 2006 VeriSign, Inc. - For authorized use only, CN=VeriSign Class 3 Public Primary Certification Authority - G5
        Validity
            Not Before: Nov  8 00:00:00 2006 GMT
            Not After : Jul 16 23:59:59 2036 GMT
        Subject: C=US, O=VeriSign, Inc., OU=VeriSign Trust Network, OU=(c) 2006 VeriSign, Inc. - For authorized use only, CN=VeriSign Class 3 Public Primary Certification Authority - G5
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:af:24:08:08:29:7a:35:9e:60:0c:aa:e7:4b:3b:
                    ...
                    25:15
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Basic Constraints: critical
                CA:TRUE
            X509v3 Key Usage: critical
                Certificate Sign, CRL Sign
            1.3.6.1.5.5.7.1.12: 
                0_.].[0Y0W0U..image/gif0!0.0...+..............k...j.H.,{..0%.#http://logo.verisign.com/vslogo.gif
            X509v3 Subject Key Identifier: 
                7F:D3:65:A7:C2:DD:EC:BB:F0:30:09:F3:43:39:FA:02:AF:33:31:33
    Signature Algorithm: sha1WithRSAEncryption
         93:24:4a:30:5f:62:cf:d8:1a:98:2f:3d:ea:dc:99:2d:bd:77:
         ...
         a8:ed:63:6a

Обратите внимание на CA: субъект и эмитент одинаковы, есть басические ограничения с CA:true отмеченные как критические, и т.д.

Поэтому я думаю, что вы можете использовать старый сертификат Verisign. Возможно, это истекло. Но у вас есть доступ к нему, так что вы можете только сказать.

Теперь, где это становится действительно странным: Сертификат 3 и Class 3 Public Primary Certification Authority. Его CA тоже, но он ничего не подтверждает.

Итак, я бы сделал следующее:

  1. Удалить сертификат 2 из цепочки
  2. Удалить сертификат 3 из цепочки
  3. Добавить VeriSign Class 3 Public Primary Certification Authority - G5 в хранилище доверия
  4. Проверьте оба сервера с OpenSSL

Чтобы проверить: сначала загрузите VeriSign Class 3 Public Primary Certification Authority - G5 из Verisign Root Certifcates. Его имя файла VeriSign-Class-3-Public-Primary-Certification-Authority-G5.pem.

Второй запуск openssl s_client каждого сервера (команда показана ниже). Включите параметр CAfile чтобы указать Verisign trust anchor. Используя требуемый якорь доверия, он должен закончить: Verify return code: 0 (ok).

$ openssl s_client -connect example.com:443 -CAfile VeriSign-Class-3-Public-Primary-Certification-Authority-G5.pem
...
Start Time: 1407273676
Timeout   : 300 (sec)
Verify return code: 0 (ok)

openssl s_client удалит Java из цикла и позволит вам убедиться, что у вас есть "хорошо известная" базовая линия для дальнейшего тестирования на Java. Но я подозреваю, что у вас есть старый Verisign Root в хранилище сертификатов неверного сервера, или вам не хватает нужного корня в хранилище сертификатов неверного сервера, или и то, и другое.

  • 0
    Я только что получил известие от системных администраторов, что они обновили свои сертификаты в течение последних нескольких дней. Так что ваша теория на моей машине со старым сертификатом может быть верной. Я не могу найти команды openssl для запуска на моем локальном компьютере, чтобы удалить сертификаты 2 и 3 из цепочки. Я предполагаю, что они как-то кешируются на моей машине, и мне нужно удалить их правильно?
  • 0
    Спасибо за это замечательное объяснение, я кое-что узнал сегодня!
Показать ещё 1 комментарий

Ещё вопросы

Сообщество Overcoder
Наверх
Меню