Борьба за включение SSLv2Hello в Apache CXF, Java 8, No Spring - PullRequest
Новая
       22

Борьба за включение SSLv2Hello в Apache CXF, Java 8, No Spring

0 голосов
/ 14 июня 2019

Это может показаться задом наперед, но я разрабатываю веб-сервер специально для взаимодействия со сторонним клиентом.Этот сторонний клиент поддерживает только SSLv3, TLSv1.0 или TLSv1.1.

Я также вижу следующие ошибки на моей стороне, когда они пытаются подключиться: 

SSLHandshakeException: SSLv2Hello is not enabled

Я предполагаю, что это означает, что для них также необходимо включить SSLv2Hello.Это явно не для меня, хотя, кажется, доступно.

2019-06-13 15:06:38.831:DBUG:oejus.SslContextFactory:MyProgram: Selected Protocols [TLSv1.1, TLSv1] of [TLSv1.3, TLSv1.2, TLSv1.1, TLSv1, SSLv3, SSLv2Hello]
2019-06-13 15:06:38.831:DBUG:oejus.SslContextFactory:MyProgram: Selected Ciphers   [TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256, TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384, TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384, TLS_DHE_RSA_WITH_AES_256_GCM_SHA384, TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256, TLS_DHE_DSS_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256, TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256, TLS_DHE_RSA_WITH_AES_128_GCM_SHA256, TLS_DHE_DSS_WITH_AES_128_GCM_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384, TLS_RSA_WITH_AES_256_CBC_SHA256, TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384, TLS_ECDH_RSA_WITH_AES_256_CBC_SHA384, TLS_DHE_RSA_WITH_AES_256_CBC_SHA256, TLS_DHE_DSS_WITH_AES_256_CBC_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256, TLS_RSA_WITH_AES_128_CBC_SHA256, TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256, TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256, TLS_DHE_RSA_WITH_AES_128_CBC_SHA256, TLS_DHE_DSS_WITH_AES_128_CBC_SHA256, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDH_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_EMPTY_RENEGOTIATION_INFO_SCSV] of [TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256, TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384, TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384, TLS_DHE_RSA_WITH_AES_256_GCM_SHA384, TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256, TLS_DHE_DSS_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256, TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256, TLS_DHE_RSA_WITH_AES_128_GCM_SHA256, TLS_DHE_DSS_WITH_AES_128_GCM_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384, TLS_RSA_WITH_AES_256_CBC_SHA256, TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384, TLS_ECDH_RSA_WITH_AES_256_CBC_SHA384, TLS_DHE_RSA_WITH_AES_256_CBC_SHA256, TLS_DHE_DSS_WITH_AES_256_CBC_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDH_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256, TLS_RSA_WITH_AES_128_CBC_SHA256, TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256, TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256, TLS_DHE_RSA_WITH_AES_128_CBC_SHA256, TLS_DHE_DSS_WITH_AES_128_CBC_SHA256, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDH_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_EMPTY_RENEGOTIATION_INFO_SCSV]

Не уверен, если это красная сельдь, но если я попытаюсь сделать следующее с SSLContext.getInstances, вызов TLSv1.1 работает нормально, SSLv2Hello генерирует исключение NoSuchAlgorithmException.

SSLContext.getInstance( "TLSv1.1" )
SSLContext.getInstance( "SSLv2Hello" )

Код, который я запускаю, чтобы раскрутить эту штуку, все еще не работает, так как я создаю прототипы, но ниже, чтобы понять суть того, что я делаю.

        final String url = "https://myurl.com:443/Notices";

        TLSServerParameters params = new TLSServerParameters();

        List<String> certFilePaths = new ArrayList<>();
        certFilePaths.add( "COMODORSADomainValidationSecureServerCA.crt" );
        certFilePaths.add( "AddTrustExternalCARoot.crt" );
        certFilePaths.add( "COMODORSAAddTrustCA.crt" );
        certFilePaths.add( "MyCert.crt" );

        Utility.loadCertsToServerParams( certFilePaths, "SSL_Export.pfx", "/tmp/tmp.jks", "password", params ); //uses the ssl password as the temporary keystore password as well

        JettyHTTPServerEngineFactory serverEngineFactory = new JettyHTTPServerEngineFactory();
        serverEngineFactory.setTLSServerParametersForPort( 443, params );

        Consumer implementor = new Consumer();
        JaxWsServerFactoryBean factory = new JaxWsServerFactoryBean();
        factory.setServiceClass( Consumer.class );
        factory.setAddress( url );
        factory.setServiceBean( implementor );

        Map<String, Object> properties = Maps.newHashMap();
        properties.put( "mtom-enabled", "false" );
        factory.setProperties( properties );

        final Map<String, Object> inProps = Utility.getWsSecurityPropertiesForSSL( "/tmp/tmp.jks", "SSL_Export.pfx", "password", "SSL_Export" );

        WSS4JInInterceptor wssOut = new WSS4JInInterceptor( inProps );
        factory.getInInterceptors().add( wssOut );

        ServerImpl server = ( ServerImpl ) factory.create();

        server.start();



public static TrustManager[] loadCertsToServerParams( List<String> serverCertFilePaths, String sslTlsKeyPairPath, String tempPathForCertFileKeystore, String sslTslKeyPairPassword, TLSServerParameters params ) throws Exception
{
    char[] sslTslKeyPairPasswordCharArray = sslTslKeyPairPassword.toCharArray();

    //clear out the keystore, we create a new one every time
    if( Files.exists( Paths.get( tempPathForCertFileKeystore ) ) )
        Files.delete( Paths.get( tempPathForCertFileKeystore ) );

    KeyStore ks = KeyStore.getInstance( "PKCS12" );

    ks.load( new FileInputStream( sslTlsKeyPairPath ), sslTslKeyPairPasswordCharArray );

    // Store away the newly created keystore.
    FileOutputStream fos = new FileOutputStream( tempPathForCertFileKeystore );
    ks.store( fos, sslTslKeyPairPasswordCharArray );
    fos.close();

    for( String certFilePath : serverCertFilePaths )
        AddCertToKeystore( ks, sslTslKeyPairPasswordCharArray, tempPathForCertFileKeystore, certFilePath, new File( certFilePath ).getName().replace( '.', '_' ) );

    TrustManagerFactory tmf = TrustManagerFactory.getInstance( TrustManagerFactory.getDefaultAlgorithm() );
    tmf.init( ks );

    KeyManagerFactory kmf = KeyManagerFactory.getInstance( KeyManagerFactory.getDefaultAlgorithm() );
    kmf.init( ks, sslTslKeyPairPasswordCharArray );

    SSLContext tls1_1Context = SSLContext.getInstance( "TLSv1.1" );
    tls1_1Context.init( kmf.getKeyManagers(), tmf.getTrustManagers(), new SecureRandom() );
    SSLContext.setDefault( tls1_1Context );

    SSLContext v2Hello = SSLContext.getInstance( "SSL" );
    v2Hello.init( kmf.getKeyManagers(), tmf.getTrustManagers(), new SecureRandom() );

    params.setTrustManagers( tmf.getTrustManagers() );
    params.setKeyManagers( kmf.getKeyManagers() );
    params.setSecureSocketProtocol( "SSL" );
    final List<String> additionalProtocols = new ArrayList<>();
    additionalProtocols.add( "SSLv2Hello" );
    additionalProtocols.add( "SSLv3" );
    additionalProtocols.add( "TLSv1" );
    additionalProtocols.add( "TLSv1.1" );
    additionalProtocols.add( "TLSv1.2" );
    params.setIncludeProtocols( additionalProtocols );
    params.setExcludeProtocols( null );
    final FiltersType cipherFilter = new FiltersType();
    cipherFilter.getInclude().add( ".*NULL.*" );
    cipherFilter.getInclude().add( ".*anon.*" );
    cipherFilter.getInclude().add( ".*EXPORT.*" );
    cipherFilter.getInclude().add( ".*DES.*" );
    cipherFilter.getInclude().add( ".*MD5" );
    cipherFilter.getInclude().add( ".*CBC.*" );
    cipherFilter.getInclude().add( ".*RC4.*" );
    cipherFilter.getInclude().add( ".*_.*" );
    cipherFilter.getInclude().add( ".*AES.*" );
    cipherFilter.getInclude().add( ".*_SHA" );
    cipherFilter.getExclude().add( "" );
    params.setCipherSuitesFilter( cipherFilter );
    final List<String> cipherSuites = new ArrayList<>();
    cipherSuites.add( "TLS_AES_128_GCM_SHA256" );
    cipherSuites.add( "TLS_AES_256_GCM_SHA384" );
    cipherSuites.add( "TLS_CHACHA20_POLY1305_SHA256" );
    cipherSuites.add( "TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384" );
    cipherSuites.add( "TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256" );
    cipherSuites.add( "TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256" );
    cipherSuites.add( "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384" );
    cipherSuites.add( "TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256" );
    cipherSuites.add( "TLS_RSA_WITH_AES_256_GCM_SHA384" );
    cipherSuites.add( "TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384" );
    cipherSuites.add( "TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384" );
    cipherSuites.add( "TLS_DHE_RSA_WITH_AES_256_GCM_SHA384" );
    cipherSuites.add( "TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256" );
    cipherSuites.add( "TLS_DHE_DSS_WITH_AES_256_GCM_SHA384" );
    cipherSuites.add( "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256" );
    cipherSuites.add( "TLS_RSA_WITH_AES_128_GCM_SHA256" );
    cipherSuites.add( "TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256" );
    cipherSuites.add( "TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256" );
    cipherSuites.add( "TLS_DHE_RSA_WITH_AES_128_GCM_SHA256" );
    cipherSuites.add( "TLS_DHE_DSS_WITH_AES_128_GCM_SHA256" );
    cipherSuites.add( "TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384" );
    cipherSuites.add( "TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384" );
    cipherSuites.add( "TLS_RSA_WITH_AES_256_CBC_SHA256" );
    cipherSuites.add( "TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384" );
    cipherSuites.add( "TLS_ECDH_RSA_WITH_AES_256_CBC_SHA384" );
    cipherSuites.add( "TLS_DHE_RSA_WITH_AES_256_CBC_SHA256" );
    cipherSuites.add( "TLS_DHE_DSS_WITH_AES_256_CBC_SHA256" );
    cipherSuites.add( "TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA" );
    cipherSuites.add( "TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA" );
    cipherSuites.add( "TLS_RSA_WITH_AES_256_CBC_SHA" );
    cipherSuites.add( "TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA" );
    cipherSuites.add( "TLS_ECDH_RSA_WITH_AES_256_CBC_SHA" );
    cipherSuites.add( "TLS_DHE_RSA_WITH_AES_256_CBC_SHA" );
    cipherSuites.add( "TLS_DHE_DSS_WITH_AES_256_CBC_SHA" );
    cipherSuites.add( "TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256" );
    cipherSuites.add( "TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256" );
    cipherSuites.add( "TLS_RSA_WITH_AES_128_CBC_SHA256" );
    cipherSuites.add( "TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256" );
    cipherSuites.add( "TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256" );
    cipherSuites.add( "TLS_DHE_RSA_WITH_AES_128_CBC_SHA256" );
    cipherSuites.add( "TLS_DHE_DSS_WITH_AES_128_CBC_SHA256" );
    cipherSuites.add( "TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA" );
    cipherSuites.add( "TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA" );
    cipherSuites.add( "TLS_RSA_WITH_AES_128_CBC_SHA" );
    cipherSuites.add( "TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA" );
    cipherSuites.add( "TLS_ECDH_RSA_WITH_AES_128_CBC_SHA" );
    cipherSuites.add( "TLS_DHE_RSA_WITH_AES_128_CBC_SHA" );
    cipherSuites.add( "TLS_DHE_DSS_WITH_AES_128_CBC_SHA" );
    cipherSuites.add( "TLS_EMPTY_RENEGOTIATION_INFO_SCSV" );
    params.setCipherSuites( cipherSuites );

    return tmf.getTrustManagers();
}

Я явно устанавливаю SSLv2Hello в качестве дополнительного протокола, как предложено в этой проблеме Jetty Github, что мне не хватает, чтобы включить SSLv2Hello?

https://github.com/eclipse/jetty.project/issues/866

1 Ответ

0 голосов
/ 25 июня 2019

Это похоже на ошибку CXF.Если я создам свой собственный JettyHTTPServerEngine на основе копии источника и добавлю следующую строку: 

scf.setIncludeProtocols( "TLSv1", "TLSv1.1", "TLSv1.2", "SSLv2Hello" );

к этому методу: 

protected SSLContext createSSLContext( SslContextFactory scf) throws Exception

, тогда поведение будет таким, как я ожидал,где выходные данные отладки указывают, что эти протоколы теперь поддерживаются, и соединение успешно.

Выбранные протоколы [TLSv1, TLSv1.1, TLSv1.2, SSLv2Hello] из [TLSv1.3, TLSv1.2, TLSv1.1, TLSv1, SSLv3, SSLv2Hello]

Я не вижу функции setIncludeProtocols в исходном коде JettyHTTPServerEngine ни в моей версии 3.2.4, ни на мастере в GitHub, поэтому я не могу представить, как это работает или должно было работать.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.

Похожие темы

...