Подтверждение SSL с помощью самоподписанных сертификатов и SSLEngine (JSSE)

Question

Мне поручено реализовать пользовательский/автономный веб-сервер Java, который может обрабатывать сообщения SSL и non-SSL на одном и том же порту.

Я реализовал NIO-сервер, и он отлично работает для запросов без SSL. У меня есть чертовски время с частью SSL и действительно можно использовать некоторые рекомендации.

Вот что я сделал до сих пор.

Чтобы различать сообщения SSL и не SSL, я проверяю первый байт входящего запроса, чтобы узнать, является ли это сообщением SSL/TLS. Пример:

byte a = read(buf); 
    if (totalBytesRead==1 && (a>19 && a<25)){ 
     parseTLS(buf); 
    } 

В parseTLS() метод, который я экземпляр SSLEngine так:

java.security.KeyStore ks = java.security.KeyStore.getInstance("JKS"); 
    java.security.KeyStore ts = java.security.KeyStore.getInstance("JKS"); 

    ks.load(new java.io.FileInputStream(keyStoreFile), passphrase); 
    ts.load(new java.io.FileInputStream(trustStoreFile), passphrase); 

    KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509"); 
    kmf.init(ks, passphrase); 

    TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509"); 
    tmf.init(ts); 

    SSLContext sslc = SSLContext.getInstance("TLS");  
    sslc.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null); 


    SSLEngine serverEngine = sslc.createSSLEngine(); 
    serverEngine.setUseClientMode(false); 
    serverEngine.setEnableSessionCreation(true); 
    serverEngine.setWantClientAuth(true); 

После SSLEngine экземпляра, я обрабатывать входящие данные с использованием методов разворачивать/обертывание с помощью кода прямо из официального JSSE Samples:

log("----"); 

    serverResult = serverEngine.unwrap(inNetData, inAppData); 
    log("server unwrap: ", serverResult); 
    runDelegatedTasks(serverResult, serverEngine); 

    log("----"); 

    serverResult = serverEngine.wrap(outAppData, outNetData); 
    log("server wrap: ", serverResult); 
    runDelegatedTasks(serverResult, serverEngine); 

Первая часть рукопожатием, кажется, работает нормально. Клиент посылает сообщение квитирования и сервер отвечает сообщением с 4 записей:

handshake (22) 
- server_hello (2) 
- certificate (11) 
- server_key_exchange (12) 
- certificate_request (13) 
- server_hello_done (14) 

Далее, клиент посылает сообщение с тремя частями:

handshake (22) 
- certificate (11) 
- client_key_exchange (16) 

change_cipher_spec (20) 
- client_hello (1) 

handshake (22) 
*** Encrypted Message **** 

SSLEngine разворачивает запрос клиента и разборов записи, но метод wrap создает 0 байт с подтверждением состояния OK/NEED_UNWRAP. Другими словами, мне нечего возвращать клиенту, и рукопожатие доходит до визжащей остановки.

Здесь я застреваю.

В отладчике я вижу, что SSLEngine, в частности ServerHandshaker, не находит никаких сертификатов сверстников. Это довольно очевидно, когда я смотрю на запись сертификата с клиентом длиной 0 байт. Но почему?

Я могу только предположить, что с ответом HelloServer что-то не так, но я не могу поверить пальцем в него. Кажется, сервер отправляет действительный сертификат, но клиент ничего не отправляет. Есть ли проблема с моим хранилищем ключей? Или это траст-магазин? Или это имеет какое-то отношение к тому, как я создаю SSLEngine? Я в тупике.

Пара другие точки:

• Хранилища ключей и доверенные ссылки в коде Snippit выше были созданы с помощью следующего урока: http://www.techbrainwave.com/?p=953
• Я использую Firefox 10 и IE 9 в качестве клиента к испытанию сервер. Те же результаты для обоих веб-клиентов.
• Я использую Sun/Oracle JDK 6 и Java Secure Socket Extension (JSSE), входящие в комплект поставки.

Я с нетерпением жду любых указаний, которые могут возникнуть у вас, но, пожалуйста, не говорите мне, что я орехи или использование Netty или Grizzly или другого существующего решения. Его просто не вариант в это время. Я просто хочу понять, что я делаю неправильно.

Спасибо заранее!

Answer 1

У вас NEED_UNWRAP, так что разворачивайте. Это, в свою очередь, может дать вам BUFFER_UNDERFLOW, что означает, что вам нужно прочитать и повторить разворот.

Аналогично, когда вы получаете NEED_WRAP, сделайте обертку: это, в свою очередь, может дать вам BUFFER_OVERFLOW, что означает, что вам нужно написать и повторить обертку.

Эта обертка или разворот, в свою очередь, может сказать вам сделать еще одну операцию: обернуть или развернуть.

Просто сделайте то, что он вам скажет.