java - SSLSocket 忽略域不匹配

Question

我正在从 SSL 套接字读取，但主机与证书不匹配(例如 host = "localhost")。我预计会出现异常，但以下代码很高兴地与远程服务器对话，没有任何问题。

try (
    final Socket socket = SSLSocketFactory.getDefault().createSocket(host, port);
    final OutputStream os = socket.getOutputStream();
    final InputStream is = socket.getInputStream()) {

    os.write(("HEAD / HTTP/1.1\r\nHost: " + host + "\r\nConnection: close\r\n\r\n").getBytes());
    os.flush();

    final byte[] bytes = new byte[1024];
    int n;
    while ((n = is.read(bytes)) != -1) {
        System.out.print(new String(bytes, 0, n));
    }
    System.out.println();
} catch (final IOException e) {
    // TODO Auto-generated catch block
    e.printStackTrace();
}

因此我尝试了另一种方法:

try {
    final HttpURLConnection conn = (HttpURLConnection) new URL("https://" + host + ":" + port + "/").openConnection();

    try (InputStream is = conn.getInputStream()) {
        IOUtils.copy(is, System.out);
    } catch (final IOException e1) {
        try (InputStream es = conn.getErrorStream()) {
            if (es != null) {
                IOUtils.copy(es, System.out);
            }
        }
    }
} catch (final IOException e) {
    // TODO Auto-generated catch block
    e.printStackTrace();
}

不幸的是，我仍然没有收到 SSL 异常，只是在日志中发出警告:2013-07-31 16:02:27,182 WARN nio - javax.net.ssl.SSLException:收到致命警报:certificate_unknown

如果证书不匹配，如何获取 SSL 异常？

Answer 1

SSL/TLS 协议(protocol)规范是模块化的，并且独立于用于验证远程主机的规范。这些其他规范分为两类:验证证书本身是否可信 (RFC 3280/5280) 和验证证书中的身份(RFC 6125 或用于 HTTPS 的 RFC 2818)。

JSSE在SSLSocket(或SSLEngine)API中集成了SSL协议(protocol)和证书的校验，但不处理标识符的校验(whch同样重要)。

这主要是因为 SSLSocket/SSLEngine 可以适用于任何应用程序协议(protocol)(例如 HTTP、IMAP、SMTP、LDAP 等)，但是验证标识符的规则在不同的规范中(有小的变化)，直到 RFC 6125(仍然是最近的)。

HttpsURLConnection 处理两者，因为它还使用 HostnameVerifier，它遵循 HTTPS 规范(RFC 2818，第 3.1 节)。这是与 SSLSocket/SSLEngine API 分开完成的。对于其他协议(protocol)，您可能需要实现协议(protocol)规范中的内容。

也就是说，从 Java 7 开始，有一种机制可以直接验证证书的身份，作为 SSLSocket/SSLEngine API 的一部分。

SSLParameters sslParams = new SSLParameters();
sslParams.setEndpointIdentificationAlgorithm("HTTPS");
sslSocket.setSSLParameters(sslParams);

如果主机名不匹配，使用它应该会抛出异常。

HTTPS 与 RFC 6125 中更统一的规范之间没有重大区别(除了后者认为 IP 地址超出范围这一事实)。即使您不使用 HTTPS，将其识别规范用于其他协议(protocol)通常仍然有意义。 (也许“RFC 6125”端点识别算法可能会出现在更高版本的 Java 中。)