支持多种 TLS 协议的 HttpClient

Question

我们正在编写一个应用程序，该应用程序必须使用 HTTPS 与一些服务器进行通信。 它需要与 AWS（使用 AWS 库）以及我们使用 TLS 1.2 的一些内部服务进行通信。

我首先将 HttpClient 更改为使用 TLS 1.2 SSLContext：

public static SchemeRegistry buildSchemeRegistry() throws Exception {
    final SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
    sslContext.init(createKeyManager(), createTrustManager(), new SecureRandom());
    final SchemeRegistry schemeRegistry = new SchemeRegistry();
    schemeRegistry.register(new Scheme("https", 443, new SSLSocketFactory(sslContext)));
    return schemeRegistry;
}

并将此 SchemeRegistry 注入 DefaultHttpClient 对象（通过 spring），但这样做我从 AWS 收到错误，因此我假设（我可能错了）AWS 不支持 TLS 1.2（我没有收到此消息如果我只使用普通的 DefaultHttpClient）：

AmazonServiceException: Status Code: 403, AWS Service: AmazonSimpleDB, AWS Request ID: 5d91d65f-7158-91b6-431d-56e1c76a844c, AWS Error Code: InvalidClientTokenId, AWS Error Message: The AWS Access Key Id you provided does not exist in our records.

如果我尝试在 spring 中定义两个 HttpClient，一个使用 TLS 1.2，一个是默认值，我会收到以下错误，我认为这意味着 Spring 不喜欢实例化和自动装配两个 HttpClient 对象：

SEVERE: Servlet /my-refsvc threw load() exception
java.lang.NullPointerException
at com.company.project.refsvc.base.HttpsClientFactory.<clinit>(BentoHttpsClientFactory.java:25)
...
org.springframework.beans.factory.support.AbstractAutowireCapableBeanFactory.instantiateUsingFactoryMethod(AbstractAutowireCapableBeanFactory.java:1031)
at 
...
org.springframework.beans.factory.support.DefaultSingletonBeanRegistry.getSingleton(DefaultSingletonBeanRegistry.java:223)

我在 java 中使用 HTTPS 的次数不多，请问各位好心人能给我一些建议吗？ 1) 我如何让 Spring 允许两个 HttpClient 对象，一个连接到 AWS 东西 bean，另一个连接到其他 bean 以访问 TLS1.2 服务 2) 或者是否可以更改一个 HttpClient 对象以尝试 TLS1.2（通过 SSLContext 或 SchemeRegistry 或其他方式），如果失败则尝试 TLS1.1 或 1.0？ 3）如果两者都可能，那么“更好”的方法是什么？

Answer 1

TLS 有一个内置机制来协商要使用的协议版本。来自RFC 5246 (Appendix E)：

TLS 版本 1.0、1.1 和 1.2 与 SSL 3.0 非常相似，并且 使用兼容的 ClientHello 消息；因此，支持所有这些 相对容易。同样，服务器可以轻松处理客户端 尝试使用未来版本的 TLS，只要 ClientHello 格式保持兼容，客户端支持最高 服务器中可用的协议版本。

希望与此类旧服务器进行协商的 TLS 1.2 客户端 将发送一个普通的 TLS 1.2 ClientHello，包含 { 3, 3 } (TLS 1.2) 在 ClientHello.client_version 中。如果服务器不支持这个版本，它会响应一个 ServerHello 包含一个 旧版本号。如果客户同意使用此版本， 谈判将酌情进行 协议。

此外，更改SSLContext.getInstance(...) 中的版本号只会更改默认启用的协议。使用SSLSocket.setEnabledProtocols(...) 设置实际的协议版本（请参阅this question）。我不确定您正在使用的其他库，但它可能在某处设置了启用的协议。

有几种可能：

• 您在 createKeyManager() 中所做的操作与默认行为不同。如果服务使用的是客户端证书认证，那么错误的配置肯定会导致 403 错误。

• （我猜不太可能，但如果没有看到你的createKeyManager() 和createTrustManager() 就很难说）。也许您使用的服务器与 TLS 1.2 和版本协商机制不兼容。 sun.security.ssl.SSLContextImpl中有这样的评论：

  SSL/TLS 协议指定前向兼容性和版本 回滚攻击保护，然而，一些 SSL/TLS 服务器 供应商没有正确实施这些方面，一些当前 SSL/TLS 服务器可能拒绝与 TLS 1.1 或更高版本的客户端通信。