启用SNI扩展的SSL握手-服务器上的证书选择

Question

在SSL握手期间，当客户机中启用SNI扩展时，服务器不会选择并向客户机返回所需的证书。

我有一个证书链，我已经导入到服务器上JVM的密钥库中。

由内部中间颁发CA颁发的服务器证书。

内部根CA颁发的中间证书。

        X509v3 Key Usage:
            Digital Signature, Certificate Sign, CRL Sign
        X509v3 Basic Constraints: critical
            CA:TRUE

自签名根CA证书。

    X509v3 extensions:
        X509v3 Key Usage:
            Digital Signature, Certificate Sign, CRL Sign
        X509v3 Basic Constraints: critical
            CA:TRUE

我使用“OpenSSL s_client”进行测试。

我不知道在SSL握手过程中证书选择在服务器上是如何工作的。

Answer 1

我不知道在SSL握手过程中证书选择在服务器上是如何工作的。

如果客户机不发送SNI，服务器应该使用默认证书进行应答（但是有些服务器没有配置任何默认证书，握手会失败）。如果客户端发送SNI，服务器应该选择适当的证书。你的问题看起来很奇怪，因为它看起来不像两种可能性。尝试升级您的JVM（OpenJDK？Oracle？）到最新版本，因为自您的版本以来有许多变化，例如在JSSE服务器中支持TLS服务器名称指示(SNI)扩展。