如何使用 Apache HttpClient 4 添加对已弃用的 SSL 密码套件的支持

Question

问题

所以，我需要使用旧的、已弃用的证书连接到该服务器。如果我尝试使用Apache HttpClient 连接到它，我会得到SSLException: Received fatal alert: close_notify。客户端本身不需要可被其他服务器重用，但构建器代码必须能够。

我不太理想的解决方法

我通过设置回退 TLS 协议解决了这个问题，但这并不理想，因为它添加了另一个请求。一定有比这更优雅的方式：

URL url = new URL("https://...");
SSLContextBuilder sslContextBuilder = SSLContexts.custom();
try {
    url.openConnection().connect();
} catch (SSLException e) {
    sslContextBuilder.useProtocol("TLSv1");
}

我也试过了

我也尝试过创建自定义SSLConnectionSocketFactory，但如果包含TLSv1.2 作为选项，apache 会忽略TLSv1。

SSLConnectionSocketFactory sf = new SSLConnectionSocketFactory(
        SSLContext.getDefault(),
        new String[] { "TLSv1.2", "TLSv1" },
        null,
        SSLConnectionSocketFactory.BROWSER_COMPATIBLE_HOSTNAME_VERIFIER);

反思

本质上，我认为基本问题是远程服务器使用了已弃用的密码套件。我可以将我想要支持的所有密码套件传递到 SSLConnectionSocketFactory，但是有很多，而且 Sun 已经隐藏了私有课程后面的完整列表。

Answer 1

您可以通过删除 $JAVA_HOME/jre/lib/security/java.security 中的 jdk.tls.disabledAlgorithms 来使用已弃用的密码套件（例如 SSL_RSA_WITH_RC4_128_SHA）。

例如默认 HttpClient 访问的 https://ex.qq.com/ 将返回 Received fatal alert: handshake_failure。但是下面的代码可以工作：

public static void main(String[] args) throws Exception {
    HttpClientBuilder builder = HttpClientBuilder.create().
            setSSLSocketFactory(new SSLConnectionSocketFactory(SSLContext.getDefault(),
            new String[] {"TLSv1"}, new String[] {"SSL_RSA_WITH_RC4_128_SHA"}, new DefaultHostnameVerifier()));
    try (CloseableHttpClient client = builder.build()) {
        HttpGet get = new HttpGet("https://ex.qq.com/");
        System.out.println(client.execute(get).getStatusLine().getStatusCode());
    }
}

查看这个问题了解更多详情：Received fatal alert: handshake_failure through SSLHandshakeException