tomcat - 如何使用 APR 和 OpenSSL 测试 Tomcat 正在缓存 SSL session ？

Question

我们有一个在 Tomcat 6.0.32 上运行并使用 JSSE (Java 1.6.0_26) 进行加密通信 (HTTPS) 的应用程序。最近，我们正在使用 APR 连接器和 OpenSSL 进行测试。

当使用 APR 时，我们如何验证 SSL session 是否在每个连接上被缓存/重用或生成？ APR 是否将 SSL 相关信息写入某些日志文件？

当使用 JSSE 时，我们可以通过传递 -Djavax.net.debug=all -Djavax.net.ssl=ssl.handshake 在 tomcat 日志文件 (catalina.out) 中看到 SSL 握手和 session 信息> 到 JVM。不过，这些标志在使用 APR 时不起作用。

Answer 1

命令:

$ openssl s_client -reconnect -state -debug

将为您提供有关 OpenSSL session 缓存的一些信息。

如果您可以发布您的服务器正在运行的 OpenSSL 版本，那就太好了。关于 session 缓存，there are well known vulnerabilities in some releases .

问候。