SNI Java 1.8 и рукопожатие Jboss SSL

Если ваш клиент WS основан на resteasy :

• есть ошибка в w java 8 (см.: bugs.java.com/bugdatabase/view_bug.do?bug_id=8144566)
• эта ошибка влияет на устаревший код apache httpclient (см. Issues.apache.org/jira/browse/HTTPCLIENT-1726)
• этот устаревший код используется в resteasy (https://issues.jboss.org/browse/RESTEASY- 1089)

Обходной путь от https://issues.jboss.org/browse/RESTEASY-1089:

new ResteasyClientBuilder().httpEngine(new URLConnectionEngine()).build()

Клиент WS, который мы использовали в этом случае, использует AXIS2 и не зависит от используемой платформы. Проблема SNI была вызвана тем, что заголовок SSL, который не был установлен, назывался:

Расширение имя_сервера, имя_сервера:

Его опубликованные значения должны выглядеть примерно так:

[тип=host_name (0), значение=some.server.value]

Во время наших первоначальных испытаний были сделаны два ошибочных набора предположений: 1) можно было использовать любой httpclient, т. е. клиент, предоставленный jboss, или клиент, предоставленный JAVAX, или даже клиент, предоставленный AXIS2, — однако это было не так, и это привело ко многим путям, которые были не способствует решению. Мы с достаточной степенью уверенности знали, что нам нужно установить заголовки SNI через SSLFactory, но мы не знали, как заставить эту фабрику производить коннекторы, которые будут использоваться системой. Что-то, что могло бы помочь в определении этой проблемы, было бы:

 Class klass = String.class;
URL location = klass.getResource('/' + klass.getName().replace('.', '/') + ".class");

2) Еще одной областью, которую мы не смогли продвинуть вперед, было решение для привязки, представленное во многих вики и руководствах:

bindingProvider.getRequestContext().put("<a href="http://com.sun.xml.internal.ws">com.sun.xml.internal.ws</a>.transport.https.client.SSLSocketFactory", new SSLSocketFactoryFacade());

Приложение имело собственную версию HTTPclient, которую необходимо было использовать. Поэтому был создан новый класс BrokeredEpaasSSLSocketFactory, который реализует SecureProtocolSocketFactory на основе org.apache.commons.httpclient 3.1, предоставленного приложением. Ключевые фрагменты кода следующие: В самом клиенте: (чтобы ограничить использование фабрик, мы изменили URL-адреса EPAAS, чтобы они содержали epaas вместо HTTPS) Изначально мы думали об использовании регистрации в классе протокола для https – однако это будет означать, что каждое приложение с уникальным URL-адресом должно быть протестировано

Protocol myHTTPS = new Protocol( "https", new MySSLSocketFactory(), 443 );
 Protocol.registerProtocol( "https", myHTTPS );

Также попытка изменить протокол (с использованием epaas для выполнения запроса вместо https) привела к тому, что AXIS выдавал ошибку, которая не позволяла продолжить работу, поэтому мы отказались от этой идеи…

String endPointFinal = endPoint.replaceAll("epaas://", "https://");
          bp.getRequestContext().put(BindingProvider.ENDPOINT_ADDRESS_PROPERTY, endPointFinal);
          bp.getRequestContext().put("SO_TIMEOUT", new Integer(sTimout));
          bp.getRequestContext().put("CONNECTION_TIMEOUT", new Integer(cTimeout));
          BrokeredEpaasSSLSocketFactory factory = new BrokeredEpaasSSLSocketFactory();   
          Protocol authhttps = new Protocol("https", factory, 443);
          HttpClient httpclient = new HttpClient();
          URL URI = new URL(endPointFinal);
          httpclient.getHostConfiguration().setHost(URI.getHost(), 443, authhttps);
          GetMethod httpget  = new GetMethod("/ecmuser/BrokeredConnectorService");
          httpclient.executeMethod(httpget);

Недавно созданный класс (BrokeredEpaasSSLSocketFactory) имеет два метода, представляющих особый интерес: В настоящее время это единственный метод createSocket, используемый приложением (хотя все они были изменены для использования в будущем):

public Socket createSocket(String host, int port, InetAddress localAddress, int localPort, HttpConnectionParams params) throws IOException, UnknownHostException, ConnectTimeoutException {
        // TODO Auto-generated method stub
        if (params == null) {
            throw new IllegalArgumentException("Parameters may not be null");
        }
        int timeout = params.getConnectionTimeout();
        if (timeout == 0) {
            return _defaultFactory.createSocket(host, port,localAddress,localPort);
        } else {

            SSLSocket socket = (SSLSocket) _defaultFactory.createSocket();
            setParameters(socket,host);
            SocketAddress localaddr = new InetSocketAddress(localAddress, localPort);
            SocketAddress remoteaddr = new InetSocketAddress(host, port);
            socket.bind(localaddr);
            socket.connect(remoteaddr, timeout);
            return socket;
        }
    }

Это метод, который фактически устанавливает заголовки SNI в исходящем запросе SSL:

private void setParameters(SSLSocket socket, String host)
        throws MalformedURLException {
    SSLParameters sslParameters = new SSLParameters();
    List<SNIServerName> sniHostNames = new ArrayList<SNIServerName>(1);
    sniHostNames.add(new SNIHostName(host));
    sslParameters.setServerNames(sniHostNames);
    socket.setSSLParameters(sslParameters);
}