来自 IBM 的 Watson 助手 API 的 javax.net.ssl.SSLHandshakeException

Question

尝试连接到 IBM 的 Watson API 时出现以下错误:

java.lang.RuntimeException: javax.net.ssl.SSLHandshakeException: Received fatal alert: handshake_failure
        at com.ibm.watson.developer_cloud.service.security.IamTokenManager.callIamApi(IamTokenManager.java:190)
        at com.ibm.watson.developer_cloud.service.security.IamTokenManager.requestToken(IamTokenManager.java:108)
        at com.ibm.watson.developer_cloud.service.security.IamTokenManager.getToken(IamTokenManager.java:78)
        at com.ibm.watson.developer_cloud.service.WatsonService.setAuthentication(WatsonService.java:375)
        at com.ibm.watson.developer_cloud.service.WatsonService.createCall(WatsonService.java:206)
        at com.ibm.watson.developer_cloud.service.WatsonService.createServiceCall(WatsonService.java:240)
        at com.ibm.watson.developer_cloud.assistant.v2.Assistant.createSession(Assistant.java:107)
        [...]
Caused by: javax.net.ssl.SSLHandshakeException: Received fatal alert: handshake_failure
        at java.base/sun.security.ssl.Alert.createSSLException(Alert.java:128)
        at java.base/sun.security.ssl.Alert.createSSLException(Alert.java:117)
        at java.base/sun.security.ssl.TransportContext.fatal(TransportContext.java:308)
        at java.base/sun.security.ssl.Alert$AlertConsumer.consume(Alert.java:279)
        at java.base/sun.security.ssl.TransportContext.dispatch(TransportContext.java:181)
        at java.base/sun.security.ssl.SSLTransport.decode(SSLTransport.java:164)
        at java.base/sun.security.ssl.SSLSocketImpl.decode(SSLSocketImpl.java:1152)
        at java.base/sun.security.ssl.SSLSocketImpl.readHandshakeRecord(SSLSocketImpl.java:1063)
        at java.base/sun.security.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:402)
        at okhttp3.internal.connection.RealConnection.connectTls(RealConnection.java:318)
        at okhttp3.internal.connection.RealConnection.establishProtocol(RealConnection.java:282)
        at okhttp3.internal.connection.RealConnection.connect(RealConnection.java:167)
        at okhttp3.internal.connection.StreamAllocation.findConnection(StreamAllocation.java:257)
        at okhttp3.internal.connection.StreamAllocation.findHealthyConnection(StreamAllocation.java:135)

[...]

这是尝试启动 API 调用的 Java 代码:

// Init assistant
IamOptions imaOptions = new IamOptions.Builder()
    .apiKey(API_KEY)
    .build();

assistant = new Assistant("2019-03-13", imaOptions);
assistant.setEndPoint(END_POINT_FRA);

// Create session
CreateSessionOptions options = new CreateSessionOptions.Builder(ASSISTANT_ID).build();
ServiceCall<SessionResponse> session = assistant.createSession(options);

最后一行抛出异常。有趣的是，当我通过独立的单元测试运行它时，我能够完美地连接。只有当我尝试从服务器应用程序连接时，我才会收到此 SSL 错误。

我已经尝试过以下方法:

• 将所有必需的 SSL 证书导入到应用程序的信任库

• 设置系统属性以在 TLS 1.1 之前支持 TLS 1.2

• 已验证是否已安装 JCE 完整策略文件(作为 Java 11 的一部分，这是我使用的版本)

• 使用 nmap 验证服务器的密码套件并检查它们是否受 JDK 支持(nmap -sV --script ssl-enum-ciphers -p 443 wildcard.bluemix.net)

  <

我也阅读并关注了这些文章:

Received fatal alert: handshake_failure through SSLHandshakeException

https://confluence.atlassian.com/jirakb/sslhandshakeexception-received-fatal-alert-handshake_failure-due-to-no-overlap-in-cipher-suite-943544397.html

我现在有点迷茫。有什么想法可能导致 SSL 握手问题，或者我如何进一步诊断它？

====更新====

在深入探讨这个话题之后，我想我已经成功地将它分离出来了。这似乎是 Java 11.0.1 中的一个实际错误，它在 11.0.2 中也仍然存在。根本原因是 Java 11 (OpenJDK) 不能很好地与 TLSv1.3 配合使用，如下所述:https://webtide.com/openjdk-11-and-tls-1-3-issues/并在此处的错误报告中 https://bugs.openjdk.java.net/browse/JDK-8213202

现在的问题是如何禁用 TLSv1.3。我已经尝试过此处提供的解决方案 https://blogs.oracle.com/java-platform-group/jdk-8-will-use-tls-12-as-default在这里 https://docs.oracle.com/javase/8/docs/technotes/guides/management/agent.html (协议(protocol)和属性)，但由于某种原因，这种禁用在我的情况下没有生效。我的代码使用的是 org.apache.http.impl.client.ClosableHttpClient，而 Builder 不允许我访问底层的 SSLConnectionSocketFactory(我可以在其中禁用 TLSv1.3)。因此，问题仍然存在:如何在此特定设置中禁用 TLSv1.3？

(PS:尝试访问 Google NL 和 Vision API - language.googleapis.com 和 vision.googleapis.com 时也会出现此问题)

Answer 1

JDK 11.0.1 和 11.0.2 中存在与 TLSv1.3 相关的错误。需要通过设置以下系统属性来禁用此版本的 TLS 协议(protocol):

-Djdk.tls.client.protocols=TLSv1.1,TLSv1.2

据推测，这个错误将随着 JDK 11.0.3 的发布而得到修复，该版本将于 19 年 4 月中旬发布。