Jetty 中的“没有共同的密码套件”错误

【问题标题】："No cipher suites in common” error in JettyJetty 中的“没有共同的密码套件”错误
【发布时间】：2016-01-15 15:13:47
【问题描述】：

我已经在 J​​etty 中设置了 ssl 连接器。它在我运行 Windows 7 的开发机器上运行良好，但在 Linux 开发服务器上失败：Chrome/IE/C# 客户端无法打开网页，并且 Jetty 调试日志中显示“No cipher suites in common”。 我从 SslConnectionFactory 获取 javax.net.ssl.SSLEngine 并打印了支持的芯片套件列表，它对于 Windows/Linux 机器是相同的（我正在运行相同的 java 1.8.0.11）。谁能建议除了这些用于 SSL 握手之外的任何其他芯片？

2016-01-18 10:20:11,875 DEBUG [qtp277169967-36] tty.util.ssl.SslContextFactory - SNI matching for type=host_name (0), value=x.com
2016-01-18 10:20:11,875 DEBUG [qtp277169967-36] tty.util.ssl.SslContextFactory - SNI matched x.com->X509@18479e43(cert0,h=[x.com, y.com, z.com],w=[])
2016-01-18 10:20:11,877 DEBUG [qtp277169967-36] .ssl.SniX509ExtendedKeyManager - Matched x.com with X509@18479e43(cert0,h=[x.com, y.com, z.com],w=[]) from [key]
2016-01-18 10:20:11,877 DEBUG [qtp277169967-36] .ssl.SniX509ExtendedKeyManager - Chose alias null/RSA on 119c684e[SSLEngine[hostname=1.2.3.4 port=64350] SSL_NULL_WITH_NULL_NULL]
2016-01-18 10:20:11,877 DEBUG [qtp277169967-36] .ssl.SniX509ExtendedKeyManager - Matched x.com with X509@18479e43(cert0,h=[x.com, y.com, z.com],w=[]) from [key]
2016-01-18 10:20:11,877 DEBUG [qtp277169967-36] .ssl.SniX509ExtendedKeyManager - Chose alias null/RSA on 119c684e[SSLEngine[hostname=1.2.3.4 port=64350] SSL_NULL_WITH_NULL_NULL]
2016-01-18 10:20:11,877 DEBUG [qtp277169967-36] .ssl.SniX509ExtendedKeyManager - Matched x.com with X509@18479e43(cert0,h=[x.com, y.com, z.com],w=[]) from [key]
2016-01-18 10:20:11,877 DEBUG [qtp277169967-36] .ssl.SniX509ExtendedKeyManager - Chose alias null/RSA on 119c684e[SSLEngine[hostname=1.2.3.4 port=64350] SSL_NULL_WITH_NULL_NULL]
2016-01-18 10:20:11,877 DEBUG [qtp277169967-36] ipse.jetty.io.AbstractEndPoint - onClose SelectChannelEndPoint@5bdd29a4{/10.240.68.111:64350<->8443,CLOSED,in,out,-,-,3/30000,SslConnection}{io=0/0,kio=0,kro=1}
2016-01-18 10:20:11,877 DEBUG [qtp277169967-36] lipse.jetty.io.ChannelEndPoint - close SelectChannelEndPoint@5bdd29a4{/10.240.68.111:64350<->8443,CLOSED,in,out,-,-,3/30000,SslConnection}{io=0/0,kio=0,kro=1}
2016-01-18 10:20:11,877 DEBUG [qtp277169967-36] lipse.jetty.io.ManagedSelector - Queued change org.eclipse.jetty.io.ManagedSelector$2@1fbd3777 on org.eclipse.jetty.io.ManagedSelector@5e45d242 id=2 keys=1 selected=0
2016-01-18 10:20:11,877 DEBUG [qtp277169967-36] se.jetty.server.HttpConnection - 
javax.net.ssl.SSLHandshakeException: no cipher suites in common
    at sun.security.ssl.Handshaker.checkThrown(Handshaker.java:1364)
    at sun.security.ssl.SSLEngineImpl.checkTaskThrown(SSLEngineImpl.java:529)
    at sun.security.ssl.SSLEngineImpl.readNetRecord(SSLEngineImpl.java:807)
    at sun.security.ssl.SSLEngineImpl.unwrap(SSLEngineImpl.java:775)

谢谢！

UPD：还有一个有趣的行为，如果我只导入一个证书，它可以正常工作，但是浏览器中有一个 ssl 警告，证书是由另一个未提供的证书签名的。如果我导入整个证书链，就会出现错误。

UPD 2：我为有问题的服务器运行了 SSL 检查器并拥有

Supported versions: TLSv1.0 TLSv1.1 TLSv1.2
Deflate compression: no
Supported cipher suites (ORDER IS NOT SIGNIFICANT):
  TLSv1.0
     RSA_WITH_RC4_128_MD5
     RSA_WITH_RC4_128_SHA
     RSA_WITH_3DES_EDE_CBC_SHA
     DHE_RSA_WITH_3DES_EDE_CBC_SHA
     RSA_WITH_AES_128_CBC_SHA
     DHE_RSA_WITH_AES_128_CBC_SHA
     TLS_ECDHE_RSA_WITH_RC4_128_SHA
     TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA
     TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  (TLSv1.1: idem)
  TLSv1.2
     RSA_WITH_RC4_128_MD5
     RSA_WITH_RC4_128_SHA
     RSA_WITH_3DES_EDE_CBC_SHA
     DHE_RSA_WITH_3DES_EDE_CBC_SHA
     RSA_WITH_AES_128_CBC_SHA
     DHE_RSA_WITH_AES_128_CBC_SHA
     RSA_WITH_AES_128_CBC_SHA256
     DHE_RSA_WITH_AES_128_CBC_SHA256
     TLS_RSA_WITH_AES_128_GCM_SHA256
     TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
     TLS_ECDHE_RSA_WITH_RC4_128_SHA
     TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA
     TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
     TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
     TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
----------------------
Server certificate(s):
  XXX: CN=XXX, O=XXX, DC=XXX, DC=XXX
----------------------
Minimal encryption strength:     strong encryption (96-bit or more)
Achievable encryption strength:  strong encryption (96-bit or more)

相同的芯片列表由我可以使用浏览器连接的服务器提供，唯一的区别在于证书。

UPD 3： 我在这个 unix 服务器上检查了另一个 CN/SAN 的证书，它工作正常（只是抛出一个无效的证书主机错误）。看起来当 CN/SAN 记录匹配时，它会运行导致此错误的额外验证？

【问题讨论】：

  • 您是否尝试过将Qualys SSL Server Tester 指向您的服务器？
  • @CodesInChaos，它是内部服务器，所以很遗憾我无法使用这样的网站访问它。
  • @CodesInChaos 我从另一个工具添加了一些测试信息
  • 也许在链的某处使用了不受支持的签名算法。或者你的链条只是断了。
  • @CodesInChaos 是的，我有一个想法，但问题是这个密钥库在我的 Windows 机器上工作（有一个警告主机名不匹配，但我可以使用连接浏览器）。

标签： java ssl cryptography jetty


【解决方案1】：

简而言之，您的客户端提供的服务和服务器提供的服务是不同的。

这可能是因为您的证书是 DSA 格式，而您的客户不提供 DSA（要解决此问题，请确保您使用更现代的证书格式，至少是 RSA 或更好）

还有一大堆密码由于一个或另一个漏洞而被特别排除。

使用SSLEngine 获取“支持”列表不会为您提供真实的答案。它所告诉您的只是您的 Java 的能力，而不是您的特定连接器配置的设置。

使用SslContextFactory，但询问它包含和排除的密码套件是什么。或者只是打开SslContextFactory 的调试并查看它产生的输出（显示包含/排除的密码和协议）。

更新：

您没有提到它是 SNI 证书，这大大缩小了范围。

对于初学者，您必须使用 Jetty 9.3+，Java 8+，没有旧版本的 Jetty 或 Java 在服务器端支持 SNI。

最后，确保在 SSL/TLS 特定的Connector 中将SecureRequestCustomizer 添加到HttpConfiguration，并使用可选的构造函数启用SNI 主机检查。

在jetty-distribution 上，您将执行以下操作...

$ mkdir snibase
$ cd snibase
$ java -jar /path/to/jetty-dist/start.jar --add-to-start=https,deploy
INFO: server          initialised (transitively) in ${jetty.base}/start.ini
INFO: ssl             initialised (transitively) in ${jetty.base}/start.ini
INFO: https           initialised in ${jetty.base}/start.ini
INFO: deploy          initialised in ${jetty.base}/start.ini
DOWNLOAD: http://git.eclipse.org/c/jetty/org.eclipse.jetty.project.git/plain/jetty-server/src/test/config/etc/keystore?id=master to ${jetty.base}/etc/keystore
MKDIR: ${jetty.base}/webapps
INFO: Base directory was modified
$ grep sni start.ini 
# jetty.ssl.sniHostCheck=true
$ edit start.ini
$ grep sni start.ini 
jetty.ssl.sniHostCheck=true

【讨论】：

  • 我在 htis unix 服务器上检查了另一个 SNI 的证书，它工作正常（只是抛出一个 SNI 错误）。看起来当 SNI 记录匹配时，它会运行导致此错误的额外验证？对于 unix/windows 机器，支持的芯片列表是相同的，所以我认为原因不是在那里设置，而是在检查证书验证。
  • Joakim，我仔细检查了一下，看起来我在编辑中犯了一个错误，问题不在于 SNI 错误，我们只有证书中的 CN/SAN 记录，当主机与这些记录匹配时客户端无法连接到此服务器。我刚刚在日志中看到一条关于 SNI 匹配的消息，所以这是我的误解。但问题仅在于 CN/SAN 记录。我尝试使用将 false 传递给 SecureRequestCustomizer 来禁用 SNI，但它没有帮助。
【解决方案2】：

看起来我能够修复它：在密钥库中，密钥文件中有证书，并且是单独的。我删除了单独的副本，它开始工作。我不知道它如何解释取决于主机名的问题，如果有人遇到同样的问题，只需发布​​解决方案。 UPD：还有助于切换到 .p12 密钥库（其中只有证书链，没有密钥）。

【讨论】：

  • 遇到了类似的问题，无法完成握手，这最终也是我的解决方案。
猜你喜欢
  • 1970-01-01
  • 1970-01-01
  • 1970-01-01
  • 2020-01-07
  • 2015-07-27
  • 1970-01-01
  • 2017-05-08
  • 2017-08-28
相关资源
最近更新 更多
热门标签
Java Python linux javascript Mysql C# Docker 算法 前端 SpringBoot Redis Vue spring 设计模式 .net core .net kubernetes c++ 数据库 数据结构 大数据 js 机器学习 微服务 Android Go 程序员 面试 JVM ASP.net core 云原生 人工智能 后端 PHP git CSS golang k8s Nginx Django mybatis 深度学习 多线程 React 架构 devops 爬虫 云计算 Spring Boot LeetCode