如何在BouncyCastle JSSE提供程序FIPS提供程序中有选择地使用approved only模式？

Question

在Java8上运行的一小部分示例代码中，我试图遵循bc-fips-1.0.2.jar用户指南Legion of the Bouncy Castle Inc. BC-FJA 1.0.2（Bouncy Castle FIPSJavaAPI）用户指南Date： 09/14/19：

注意：对FIPS模式的支持在Java 1.9中似乎已经开始消失，已经确认从Java 11开始它是一个空操作。对于Java 11或更高版本，如果需要FIPS支持，建议使用BCJSSE提供程序。

（第11页的脚注）。我是在“混合”上下文中这样做的，所以大多数线程都在默认模式下运行，有些线程在FIPS批准的仅模式下运行。

但是，这似乎不起作用：似乎一个“批准”的线程正在尝试重用由“未经批准”的线程创建的实例。

具体来说，当以编程方式启用bc-fips-1.0.2时。jar的BCFIPS和bctls-fips-1.0.10。jar的BCJSSE在标准的未修改OpenJDK 8上（在我的例子中是Corretto 8u232），并以编程方式删除内置的SunJSSE提供程序，然后以未批准的模式在新线程上进行HTTPS连接，然后以批准的模式在另一个新线程上进行HTTPS连接，会导致异常：

Caused by: org.bouncycastle.crypto.fips.FipsUnapprovedOperationError: Attempt to use unapproved implementation in approved thread: SHA-512
    at org.bouncycastle.crypto.internal.io.Utils.approvedModeCheck(Unknown Source)
    at org.bouncycastle.crypto.internal.io.DigestOutputStream.write(Unknown Source)
    at org.bouncycastle.crypto.UpdateOutputStream.update(Unknown Source)
    at org.bouncycastle.jcajce.provider.BaseMessageDigest.engineUpdate(Unknown Source)
    at java.html" target="_blank">security.MessageDigest.update(MessageDigest.java:335)
    at org.bouncycastle.tls.crypto.impl.jcajce.JcaTlsCryptoProvider$NonceEntropySource$NonceEntropySourceSpi.runDigest(Unknown Source)
    at org.bouncycastle.tls.crypto.impl.jcajce.JcaTlsCryptoProvider$NonceEntropySource$NonceEntropySourceSpi.engineNextBytes(Unknown Source)
    at java.security.SecureRandom.nextBytes(SecureRandom.java:468)
    at org.bouncycastle.tls.crypto.impl.jcajce.JcaNonceGenerator.<init>(Unknown Source)
    at org.bouncycastle.tls.crypto.impl.jcajce.JcaTlsCrypto.createNonceGenerator(Unknown Source)
    at org.bouncycastle.tls.AbstractTlsContext.createNonceGenerator(Unknown Source)
    at org.bouncycastle.tls.AbstractTlsContext.<init>(Unknown Source)
    at org.bouncycastle.tls.TlsClientContextImpl.<init>(Unknown Source)
[etc]

我尝试的完整再现场景https://gist.github.com/marnix/834610d0fb92e53ce507edfce96bacb9，详情请参阅该类的javadoc。

因此，我的问题是：如何使用BCJSSE而不是SunJSSE使HTTPS连接工作，其中一些连接处于默认模式，而另一些连接处于仅FIPS批准的模式？

或者这在Java 8上不起作用，我是否必须等待Java 9才能开始工作？（为什么？）

（我的最终目标不是HTTPS连接，而是其他连接，其中大多数将在默认模式下运行，一些线程将在仅批准的模式下运行。）

Answer 1

使用单独的SSLContext实例是正确的方法，但使用SSLContext。setDefault在这里是非常错误的。部分原因是，一旦删除线程连接，就会出现与setter相关的争用条件。但更重要的是，HttpsURLConnection只设置其默认SSLSocketFactory一次，并将调用SSLContext。getDefault最多只能设置一次，因此调用SSLContext。之后的setDefault将不会对HttpsURLConnection产生影响，您将共享原始SSLContext和FIPS错误。

删除：

SSLContext.setDefault(context);

并替换：

url.openConnection()

与：

HttpsURLConnection conn = (HttpsURLConnection)url.openConnection();
conn.setSSLSocketFactory(context.getSocketFactory());