如何处理服务器未启用SSL/TLS但客户端在Java中启用SSL/TLS的负面测试案例

Question

我有一个启用SSL的客户端，但不是我的服务器。

背景：所以我想做的是，

客户端：

1. 客户端尝试连接到服务器
2. 尝试写入流中
3. 读取服务器写入的数据
4. 关闭康涅狄格州

服务器端：

1. 服务器接受TCP连接
2. 尝试将客户端写入的数据读取到流中
3. 将回复写回客户端
4. 关闭康涅狄格州

实际发生的情况是，服务器开始监听端口，然后客户端在握手进入画面之前连接到服务器。

连接到服务器意味着客户端执行以下操作

SSLSocket sock = (SSLSocket)sslsocketfactory.createSocket(remoteAddress, port);

并且服务器接受使用，

ServerSocket.accept();

I/e ClientSide和ServerSide步骤1

到目前为止，握手还没有被触发。

现在，当客户端尝试写入流时，在握手触发之前。

i、 e客户端现在已进入步骤2

我分析了WireShark中的数据包，客户端向客户端发送Hello。现在，由于服务器未启用SSL，它在从客户端读取数据时被卡住/暂停，而客户端被卡住是因为它在等待服务器Hello消息。

最终双方都超时了，但实际上应该如何处理呢。

Answer 1

您的客户端正在尝试通过TCP套接字启动SSL握手。如果您想要使用SSL（证书和密码套件）的安全TCP连接，这是很好的。但您还需要一个知道如何使用SSL进行通信的服务器。看这里。

基本上，您的服务器是一个“裸”TCP服务器，对SSL一无所知。因此，当您的SSL客户端尝试连接到服务器时，它会启动正常的SSL握手（客户端使用密码套件发送你好）。服务器接收此数据，但它对它没有任何特殊意义，因此它不响应SSL服务器应该如何响应（服务器用自己的密码套件和证书响应你好）。因此，当客户端等待响应时，它最终会超时。

解决方案要么将您的服务器更改为上面链接的SSLSocketServer（如果您想要安全的SSL连接并拥有证书，请选择），要么将客户端更改为普通套接字客户端

Answer 2

最终双方都超时了，但实际上应该如何处理呢。

如果客户机不知道服务器不讲TLS，那么如果服务器没有响应，那么对于客户机来说，没有比在一段时间后超时更好的方法了。服务器可能会尝试提前检查客户端发送的数据是否属于预期的协议。这对于HTTP是可能的，因为ClientHello的前几个字节看起来与有效HTTP请求的开头完全不同。类似的启发式算法也可能适用于其他应用程序协议，但并非适用于所有应用程序协议。