在不写入任何数据的情况下打开和关闭 SSLSocket 时出错

Question

一个简单的服务器

listen = getServer();
Logger.getAnonymousLogger().info("Listening to "+listen.toString());
SSLSocket client = (SSLSocket)listen.accept();
// adding this line fixes everything - client.write(42);
client.close();

还有一个简单的客户

SocketFactory sockMaker = SSLSocketFactory.getDefault();
Socket server = sockMaker.createSocket("localhost", 1443);
int retval = server.getInputStream().read();
assert retval == -1;
server.close();

如果我不向 SSL Socket 写入任何内容，则会在客户端抛出异常：

Exception in thread "main" javax.net.ssl.SSLException:\
  Received close_notify during handshake
at com.sun.net.ssl.internal.ssl.Alerts.getSSLException(Alerts.java:190)

我不明白为什么会这样。 SSL/TLS 规范是否要求您将内容写入套接字？

请参阅full example。

Answer 1

您不必在套接字中写入任何内容，但如果您立即关闭它，它将生成一个close_notify 警报（虽然它被称为“警报”，它是关闭一个正常方式的一部分TLS/SSL 套接字）。

此外，SSL/TLS 套接字的设计行为“几乎”与普通 TCP 套接字一样，但由于 SSL/TLS 的工作方式，它们不（也不能）有一些细节。 特别是，在 SSL/TLS 连接开始时，会发生 SSL/TLS 握手，在发送任何应用程序数据之前，这涉及到来自每一方的多次读/写。

documentation for SSLSocket 说：

第一次握手 连接可以在其中之一启动 三种方式：

• 调用明确开始握手的startHandshake，或
• 在此套接字上读取或写入应用程序数据的任何尝试都会导致隐式握手，或者
• 如果当前没有会话，则调用getSession 会尝试建立会话 有效会话和隐式 握手完成。

本质上，您示例中客户端的getInputStream().read() 会启动握手，这会导致服务器继续使用accept() 并在其一侧执行握手。但是，由于您在服务器端关闭它（通常但立即），您甚至没有时间让握手完成。因此，close_notify 在握手期间发送，这会导致您得到异常。如果您尝试从服务器端读取或写入，那么握手至少会完成。

编辑：在@EJP 的评论之后，我应该澄清我的意思：

• 客户端createSocket("localhost", 1443)建立连接，服务器通过accept()接受。
• 客户端的getInputStream().read() 使其启动握手。因此，它会向服务器发送ClientHello TLS 消息。
• 因为服务器在接受套接字后直接使用close()，它发送一个close_notify 警报。因为服务器还没有开始读/写，它还没有开始握手（因此没有完成）。

请注意，SSLServerSocket 实现的ServerSocket.accept() 的目的是创建一个SSLSocket，不一定要对它做任何事情。 SSLServerSocket 配置它，但继续握手超出了范围。一方面，这听起来可能使SSLSocket 的行为更加透明，就像普通的 TCP 套接字一样；另一方面，它意味着从底层 TCP 流中读取，因此会产生副作用。 我没有尝试过，但SSLServerSocket 创建的SSLSocket 可能仍然可以配置为客户端套接字。毕竟正如RFC 2246 glossary 所说： “客户端：启动与服务器的 TLS 连接的应用程序实体。这可能暗示或可能不暗示客户端启动了底层传输连接。” 这肯定会对透明度和何时执行产生影响从 API 的角度来看握手。

（为 SSL/TLS 套接字编写一个映射到普通 TCP 套接字 API 的 API 是一个棘手的练习，Java 在这方面做得还不错。真正的“乐趣”从使用 @ 的异步 TLS 开始987654344@ 和 NIO 通道。考虑到任何一方都可以随时发起新的握手，它变得更好：就 TLS 而言，上述级别的含义是不确定的，这可能导致awkward problems。）

Answer 2

情况无效。您正在尝试读取未发送的数据。这是一个应用程序协议错误。布鲁诺回答中的所有陈述也适用。客户端正在尝试握手；服务器正在尝试关闭连接。可以说，如果还没有完成，服务器关闭可以启动握手，但它没有。

正如您所指出的，另一种解决方法是在任一端调用 startHandshake()。