带有主机名验证的SSLContext

Question

在测试我的客户机-服务器分布式系统时，我最初惊讶地得知TLS的默认JSSE实现不进行主机名验证。我在这个问题中尝试了公认的答案，但我的用例有点不同。我使用RabbitMQ的连接工厂，它抽象了SSLSocket的构造。我只是为连接工厂提供了一个SSLContext。我确实找到了很多关于HTTPS的信息，甚至还有一些其他协议，但并不是总能使用的通用协议，即使是自定义协议。

但是，除了使用X509ExtendedTrustManager之外，关于创建域验证SSLContext并没有太多的内容。在调试时，我可以看到

TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509");
tmf.init((KeyStore) null);
tmf.getTrustManagers();

final TrustManager[] trustManagers = tmf.getTrustManagers();
X509ExtendedTrustManager x509ExtendedTrustManager = new X509ExtendedTrustManager() {
    @Override
    public void checkClientTrusted(X509Certificate[] x509Certificates, String s, Socket socket) throws CertificateException {
        checkClientTrusted(x509Certificates, s);
    }

    @Override
    public void checkServerTrusted(X509Certificate[] x509Certificates, String s, Socket socket) throws CertificateException {
        checkServerTrusted(x509Certificates, s);
    }

    @Override
    public void checkClientTrusted(X509Certificate[] x509Certificates, String s, SSLEngine sslEngine) throws CertificateException {
        checkClientTrusted(x509Certificates, s);
    }

    @Override
    public void checkServerTrusted(X509Certificate[] x509Certificates, String s, SSLEngine sslEngine) throws CertificateException {
        checkServerTrusted(x509Certificates, s);
    }

    public void checkClientTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException {
        for (TrustManager trustManager : trustManagers)
            ((X509TrustManager)trustManager).checkClientTrusted(x509Certificates, s);
    }

    public void checkServerTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException {
        for (TrustManager trustManager : trustManagers)
            ((X509TrustManager)trustManager).checkServerTrusted(x509Certificates, s);

        for (X509Certificate x509Certificate : x509Certificates) {
            Collection<List<?>> alternativeNameCollection = x509Certificate.getSubjectAlternativeNames();
            if (alternativeNameCollection != null) {
                for (List alternativeNames : alternativeNameCollection) {
                    if (alternativeNames.get(1).equals(host))
                        return;
                }
            }
        }

        throw new CertificateException("Certificate hostname and requested hostname don't match");
    }

    public X509Certificate[] getAcceptedIssuers() {
        return new X509Certificate[0];
    }
};

这终于奏效了。但我不敢相信没有一个更干净的方法来做这件事。基本上，我要找的是一些标准的东西，因为我认为我所做的也是相当标准的。我读过关于hostNameVerifier的文章，但是有没有一种方法可以在SSLContext中使用它而不使用HTTPS呢？是否存在X509ExtendedTrustManager的主机名验证实现？我肯定我在重新发明已经写好的东西。

编辑：这是一个很好的，工作的例子。但仍然是自定义代码。

编辑2:RabbitMQ仍然存在问题，因为RabbitMQ解析DNS并将IP地址传递给验证器，这当然总是失败。因此X509ExtendedTrustManager似乎仍然是可行的方法。

Answer 1

主机名验证不是SSL的一部分。它是HTTPS的一部分。您正在调查错误的层和错误的API。您应该查看HTTPURLConnection和HostNameVerifier。