W języku Java 8 można uzyskać połączenie HTTP do wysłania nazwy serwera (SNI)

Question

Dokumentacja Oracle wydaje się wskazywać, że Java 8 wysyła automatycznie i domyślnie SNI. Wireshark wskazuje inaczej. Jestem sysadminem PowerShell, a nie programistą Java, więc prawie pewne, że coś przeoczyłem.

W przypadku użycia z odpowiednim magazynem kluczy zaufania następujący kod zwraca status 200 ze wszystkich witryn SSL, które nie wymagają SNI. Zwraca również dobrze podczas łączenia się z domyślną witryną SSL serwera hosta o wielu hostach. Jednak w przypadku prośby o połączenie z witryną inną niż domyślna nie można uzyskać nazwy certyfikatu niezgodnej z nazwą witryny, ponieważ łączy się ona z domyślną witryną.

import java.util.*; 
import java.net.*; 
import javax.net.ssl.*; 
import java.io.*; 

public class testJavaHttpConn { 
    public static void main(String[] args) throws Exception { 
     String strUrl = args[0]; 
     System.out.println("Trying to connect to " + strUrl); 
     try { 
      URL url = new URL(strUrl); 
      HttpsURLConnection urlConn = (HttpsURLConnection) url.openConnection(); 
      System.out.println("Connecting"); 
      urlConn.connect(); 
      System.out.println("Done"); 
      System.out.println("Response " + urlConn.getResponseCode()); 
     } catch (IOException e) { 
      System.err.println("Error creating HTTP connection"); 
      e.printStackTrace(); 
      throw e; 
     } 
    } 
} 

Mam nie zestaw System.setProperty ("jsse.enableSNIExtension", "false"); a kiedy ustawię - Djavax.net.debug = ssl, wyraźnie widać, że nie ustawiono rozszerzenia nazwy serwera.

Jestem świadomy, że mogę zaimplementować SSLSocket i ustawić nazwę serwera SSLParameter, jeśli chcę zanurkować do następnej głębszej warstwy abstrakcji, ale chciałbym tego uniknąć.

Edytuj: Kod działa tak, jak napisano powyżej dla Flo w komentarzach. Zawodzi mi w wersji 1.8.0_72 w systemie Linux 2.6.18-194.11.3.el5 i 1.8.0_51 w systemie Windows 7. Instalacja systemu Windows jest wanilią, podczas gdy instalacja systemu Linux zaktualizowała wartość parametru urandom do pliku securerandom.source = file: /dev/./urandom. Nie jestem pewien, w jaki sposób mogę określić, co o moich instalacjach różni się od Flo.

Answer 1

HttpsURLConnection robi wysłać Sni domyślnie po wyjęciu z pudełka IFF URL, do którego to podłączenie jest w pełni kwalifikowana nazwa. Nie wysyła SNI dla lokalnych aliasów skrótów w intranecie.

Extension server_name, server_name: [type=host_name (0), value=site.company.com] 

(Dla przypomnienia, Musiałem także wdrożyć nowy certyfikat z sieci SAN dla nazw krótkich iw pełni wykwalifikowanych, ale to było trywialne.)