java - 在java中模拟一个SSL客户端

Question

我有一个关于 java 中的 ssl 客户端的问题。在浏览器的情况下，发起客户端问候请求，其中包含它支持的密码套件、版本号等，并且服务器响应具有将用于此 session 的密码套件的服务器问候。

我认为如果客户端问候中不存在 session (jsessionId)，此时会创建一个 session (jsessionId)(这意味着 jsessionId 未 protected 地发送到客户端(?))

此过程完成后，浏览器会根据需要发出 https 请求，浏览器会使用服务器问候中返回的密码套件中提到的加密算法对其进行加密。

如果我必须在 java 中执行此操作，我可以使用 SSLSocket 进行握手并在 addHandshakeCompletedListener 方法中关联一个处理程序。

因此，一旦握手完成，控制就会转到 addHandshakeCompletedListener 回调方法。

因此，如果现在我需要发出 ssl 请求，我将不得不使用 HttpsURLConnection (?) 并创建一个请求。

我的问题是 - HttpsURLConnection 如何知道加密算法然后使用它进行加密？

我可以使用密码套件中的加密算法自己对其进行加密，然后通过普通的 http 连接 (HttpURLConnection (?)) 将其发布。会成功吗？

我知道这是一个复杂的结构——我们必须计算 mac，然后在加密数据之前追加。 HttpsURLConnection 会做这一切吗？

session 是如何维护的？ HttpsURLConnection 如何知道此连接已经启动并且握手过程已经完成？

我无法关联所有这些？任何帮助，将不胜感激!如果可能请举例说明。

Answer 1

I have a question regarding ssl client in java. In case of Browser, a client hello request is initiated having ciphers suites it supports, version number etc. and server responds with a server hello having the cipher suite which would be used for this session.

正确。

I think a session (jsessionId) is created at this time (server hello) if one is not present in client hello (which means jsessionId is sent to client unprotected(?))

没有。这是 HTTPS 的一部分，而不是 SSL，它发生在 SSL 握手完成之后。

Once this process is completed browser makes a https request as required and browser encrypts it using encryption algorithm mentioned in the cipher suite returned in server hello.

正确。

If i have to do it in java I can use SSLSocket to do the handshake and associate a handler in addHandshakeCompletedListener method.

如果您必须在 Java 中执行 HTTPS，您只需要一个 HttpsURLConnection。您也不需要 SSLSocket。

So, once the handshake is completed, control comes to addHandshakeCompletedListener callback method.

这只是为了验证对等身份，它不会发生在 HttpsURLConnection 中。

So, if now i need to make a ssl request i will have to use HttpsURLConnection (?) and create a request.

这是您应该开始的地方。这一点以上的一切都与你无关。

My question is -How does HttpsURLConnection know about the encryption algorithm and then encrypts using that?

事实并非如此。它在内部使用一个 SSLSocket 来完成这一切。

Can i encrypt it myself using the encryption algorithm in cipher suite and post it over a normal http connection (HttpURLConnection (?)). Will it work?

没有也没有。这些都不是必需的。一切都为您完成。

I know it is a complex structure - we have to calculate mac and then append before we encrypt the data. Does HttpsURLConnection does all this?

不，SSLSocket 做到了。

How is session maintained?

哪个 session ？有两个:SSL session 和 HTTPS session 。 SSL session 由底层 SSLContext 维护，HTTPS session 由服务器通过 jsessionid cookie 维护。

How does HttpsURLConnection know that this connection has already been initiated and handshake procedures have already been completed?

因为它使用了 SSLSocket 来做到这一点。

I am not able to correlate all this? Any help would be appreciated! If possible please provide an example to explain.

范围太广。