HttpClient失败与握手失败在Android 5.0Lollipop

Question

在Android 5.0LollipopDefaultHttpClient似乎被打破。它不能设置连接到一些网站，成功地设置了以前版本的Android.

例如，我尝试连接到https://uralsg.megafon.ru

//Create httpclient like in https://stackoverflow.com/questions/18523784/ssl-tls-protocols-and-cipher-suites-with-the-androidhttpclient
HttpClient client = new DefaultHttpClient(manager, params);
HttpGet httpGet = new HttpGet("https://uralsg.megafon.ru");
HttpResponse client = httpclient.execute(httpGet);

此代码在Android 2.3-4.4中工作，但在Android 5.0（设备和模拟器）上失败，错误连接被对等方关闭。当然，这是可以理解的，因为Android 5.0试图将这台旧服务器与TLSv1连接起来。2和现代密码，它不支持它们。

好的，使用AndroidHttpClient的SSL/TLS协议和密码套件中的示例代码，我们将协议和密码限制为TLSv1和SSL_RSA_以及_RC4_128_MD5。现在它失败了，出现了另一个错误：

javax.net.ssl.SSLHandshakeException: Handshake failed
caused by 
    error:140943FC:SSL routines:SSL3_READ_BYTES:sslv3 alert bad record mac 
    (external/openssl/ssl/s3_pkt.c:1286 0x7f74c1ef16e0:0x00000003) 
    at com.android.org.conscrypt.NativeCrypto.SSL_do_handshake

当然，这段代码在Android 2.3-4.4上运行平稳。

我用wireshark检查了流量：

302 4002.147873000  192.168.156.30  83.149.32.13    TLSv1   138 Client Hello
303 4002.185362000  83.149.32.13    192.168.156.30  TLSv1   133 Server Hello
304 4002.186700000  83.149.32.13    192.168.156.30  TLSv1   1244    Certificate
305 4002.186701000  83.149.32.13    192.168.156.30  TLSv1   63  Server Hello Done
307 4002.188117000  192.168.156.30  83.149.32.13    TLSv1   364 Client Key Exchange, Change Cipher Spec, Encrypted Handshake Message
308 4002.240695000  83.149.32.13    192.168.156.30  TLSv1   61  Alert (Level: Fatal, Description: Bad Record MAC)

您可以看到连接已建立，但服务器已发出警报，因为它可能无法解码加密的握手消息。

我没有设法连接到https://uralsg.megafon.ru使用HttpClient在Android 5.0.股票浏览器确实连接它。Android2.3-4.4以任何方式连接这个网站没有任何困难。

有什么方法可以让HttpClient连接这样的网站？这只是一个例子，我相信有很多遗留服务器无法通过Android 5.0和HttpClient连接。

Answer 1

我试着在一家定制的插座工厂里更换密码套件，但没有用。在我的情况下，我必须删除TLSv1。1和TLSv1。来自套接字的EnabledProtocol的2个协议。一些旧服务器似乎不能很好地处理新协议的协议协商。有很多创建自定义套接字工厂的示例，例如如何在使用HttpsURLConnection时覆盖Android发送到服务器的密码列表？，还有其他的Apache套接字。完成后，我调用了下面的AdjustSocket方法来删除协议。

private void AdjustSocket(Socket socket)
{
    String[] protocols = ((SSLSocket) socket).getSSLParameters().getProtocols();
    ArrayList<String> protocolList = new ArrayList<String>(Arrays.asList(protocols));

    for (int ii = protocolList.size() - 1; ii >= 0; --ii )
        {
        if ((protocolList.get(ii).contains("TLSv1.1")) || (protocolList.get(ii).contains("TLSv1.2")))
            protocolList.remove(ii);
        }

    protocols = protocolList.toArray(new String[protocolList.size()]);
    ((SSLSocket)socket).setEnabledProtocols(protocols);
}

Answer 2

更新：这是后端的一个bug，而不是Android5，尽管密码确实有问题。

我也有同样的问题。对我来说，结果是密码TLS_DHE_RSA_与_AES_256_GCM_SHA384，它是从Android5（更新的）默认密码集中选择的。

当我把它从可接受密码的客户端列表中删除后，连接又开始工作了。

android 5更改日志提到：

• AES-GCM（AEAD）密码套件现已启用

我很确定这就是罪魁祸首。一旦TLS_DHE_RSA_WITH_AES_256_GCM_SHA384是首选（由服务器），连接将失败。

请注意，TLS\u DHE\u RSA\u和\u AES\u 128\u GCM\u SHA256可以工作。

我猜要么是Android实现的TLS\u DHE\u RSA\u和\u AES\u 256\u GCM\u SHA384有问题，要么是你正在与之交谈的服务器有问题。

解决：

1. 从服务器上的可用密码中删除TLS\u DHE\u RSA\u WITH_AES\u 256\u GCM\u SHA384（无需重新部署应用程序）

通过实现自己的SSLSocketFactory并调用

sslSocket.setEnabledCipherSuites(String[] suites);

关于SSLSocket创建。

编辑：请注意，这不一定是android错误，可能是服务器实现有问题。如果您的问题确实是由密码引起的，请在android bug tracker上留言](https://code.google.com/p/android/issues/detail?id=81603)1.谢谢！