Otrzymany alarm fatal: handshake failure przez SSLHandshakeException

Instalacja Java Cryptography Extension (JCE) Unlimited Strength (dla JDK7 | dla JDK8 ) naprawi ten błąd. Rozpakuj plik i postępuj zgodnie z readme, aby go zainstalować.

Nie wydaje mi się, aby to rozwiązywało problem dla pierwszego pytającego, ale dla googlerów przychodzących tu po odpowiedzi:

Na update 51, java 1.8 domyślnie zabrania szyfrów RC4, jak widać na stronie uwagi do wydania:

Bug Fix: zabronić RC4 cipher suites

RC4 jest teraz uważany za skompromitowany szyfr.

Pakiety szyfrów RC4 zostały usunięte z domyślnej listy pakietów szyfrów klienta i serwera w Oracle JSSE wdrożenie. Te pakiety szyfrów mogą być nadal włączone za pomocą metod SSLEngine.setEnabledCipherSuites() i SSLSocket.setEnabledCipherSuites(). Zobacz JDK-8077109 (Niepubliczny).

Jeśli twój serwer preferuje ten szyfr (lub używa tylko tego szyfru), może to wywołać handshake_failure w Javie.

Możesz przetestować połączenie z serwerem umożliwiające szyfrowanie RC4 (najpierw spróbuj bez argumentu enabled, aby sprawdzić, czy uruchamia handshake_failure, Następnie Ustaw enabled:

import javax.net.ssl.SSLSocket;
import javax.net.ssl.SSLSocketFactory;
import java.io.*;

import java.util.Arrays;

/** Establish a SSL connection to a host and port, writes a byte and
 * prints the response. See
 * http://confluence.atlassian.com/display/JIRA/Connecting+to+SSL+services
 */
public class SSLRC4Poke {
    public static void main(String[] args) {
        String[] cyphers;
        if (args.length < 2) {
            System.out.println("Usage: "+SSLRC4Poke.class.getName()+" <host> <port> enable");
            System.exit(1);
        }
        try {
            SSLSocketFactory sslsocketfactory = (SSLSocketFactory) SSLSocketFactory.getDefault();
            SSLSocket sslsocket = (SSLSocket) sslsocketfactory.createSocket(args[0], Integer.parseInt(args[1]));

            cyphers = sslsocketfactory.getSupportedCipherSuites();
            if (args.length ==3){
                sslsocket.setEnabledCipherSuites(new String[]{
                    "SSL_DH_anon_EXPORT_WITH_RC4_40_MD5",
                    "SSL_DH_anon_WITH_RC4_128_MD5",
                    "SSL_RSA_EXPORT_WITH_RC4_40_MD5",
                    "SSL_RSA_WITH_RC4_128_MD5",
                    "SSL_RSA_WITH_RC4_128_SHA",
                    "TLS_ECDHE_ECDSA_WITH_RC4_128_SHA",
                    "TLS_ECDHE_RSA_WITH_RC4_128_SHA",
                    "TLS_ECDH_ECDSA_WITH_RC4_128_SHA",
                    "TLS_ECDH_RSA_WITH_RC4_128_SHA",
                    "TLS_ECDH_anon_WITH_RC4_128_SHA",
                    "TLS_KRB5_EXPORT_WITH_RC4_40_MD5",
                    "TLS_KRB5_EXPORT_WITH_RC4_40_SHA",
                    "TLS_KRB5_WITH_RC4_128_MD5",
                    "TLS_KRB5_WITH_RC4_128_SHA"
                });     
            }

            InputStream in = sslsocket.getInputStream();
            OutputStream out = sslsocket.getOutputStream();

            // Write a test byte to get a reaction :)
            out.write(1);

            while (in.available() > 0) {
                System.out.print(in.read());
            }
            System.out.println("Successfully connected");

        } catch (Exception exception) {
            exception.printStackTrace();
        }
    }
}

1 - https://www.java.com/en/download/faq/release_changes.xml

Może się to zdarzyć również wtedy, gdy klient musi przedstawić certyfikat. Po tym, jak serwer wyświetli łańcuch certyfikatów, może się zdarzyć, co następuje:

3. Żądanie Certyfikatu Serwer wystawi żądanie certyfikatu od klienta. Żądanie wyświetli listę wszystkich certyfikatów, które serwer akceptuje.

*** CertificateRequest
Cert Types: RSA
Cert Authorities:
<CN=blah, OU=blah, O=blah, L=blah, ST=blah, C=blah>
<CN=yadda, DC=yadda, DC=yadda>
<CN=moreblah, OU=moreblah, O=moreblah, C=moreblah>
<CN=moreyada, OU=moreyada, O=moreyada, C=moreyada>
... the rest of the request
*** ServerHelloDone

4. Łańcuch Certyfikatów Klienta Jest to certyfikat, który klient wysyła na serwer.

*** Certificate chain
chain [0] = [
[
  Version: V3
  Subject: EMAILADDRESS=client's email, CN=client, OU=client's ou, O=client's Org, L=client's location, ST=client's state, C=client's Country
  Signature Algorithm: SHA1withRSA, OID = 1.2.840.113549.1.1.5
  ... the rest of the certificate
*** ClientKeyExchange, RSA PreMasterSecret, TLSv1    
... key exchange info 

Jeśli w łańcuchu nie ma certyfikatu a serwer tego wymaga, Tutaj dostaniesz błąd uścisku dłoni. Prawdopodobną przyczyną jest to, że ścieżka do certyfikatu nie została znaleziona.

5. Certificate Verify Klient prosi serwer o weryfikację certyfikatu

*** CertificateVerify
... payload of verify check

Ten krok nastąpi tylko wtedy, gdy wysyłasz certyfikat.

6. Zakończone Serwer odpowie odpowiedzią verify

*** Finished
verify_data:  { 345, ... }

Awaria uścisku dłoni może być błędną implementacją protokołu TLSv1.

W naszym przypadku pomogło to z Javą 7:

java -Dhttps.protocols=TLSv1.2,TLSv1.1,TLSv1 

Jvm będzie negocjować w tej kolejności. Serwery z najnowszą aktualizacją zrobią 1.2, te buggy zejdą do v1 i to działa z podobną v1 w Javie 7.

Mam ten błąd podczas próby użycia JDK 1.7. Kiedy uaktualniłem mój JDK do jdk1.8. 0_66 wszystko zaczęło działać dobrze.

Więc najprostszym rozwiązaniem tego problemu może być - Zaktualizuj swój JDK i może zacząć działać dobrze.

Zakładając, że używasz odpowiednich protokołów SSL / TLS, prawidłowo skonfigurowałeś swoje keyStore i trustStore i potwierdziłeś, że nie ma żadnych problemów z samymi certyfikatami, być może będziesz musiał wzmocnić swoje algorytmy bezpieczeństwa .

Jak wspomniano w odpowiedzi Vineeta , jednym z możliwych powodów otrzymania tego błędu jest użycie niezgodnych zestawów szyfrów. Aktualizując moje local_policy i US_export_policy słoiki w folderze security mojego JDK tymi dostarczonymi w Java Cryptography Extension (JCE) , udało mi się pomyślnie zakończyć uścisk dłoni.

Spotykam się dziś z tym samym problemem z Klientem OkHttp, aby uzyskać adres URL oparty na https. To było spowodowane przez wersję protokołu Https i niedopasowanie metody szyfrowania pomiędzy stroną serwera a stroną klienta.

openssl>s_client -connect your_website.com:443 -showcerts

Otrzymasz wiele szczegółowych informacji, kluczowe informacje są wymienione w następujący sposób:

SSL-Session:
    Protocol  : TLSv1
    Cipher    : RC4-SHA

@Test()
public void testHttpsByOkHttp() {
    ConnectionSpec spec = new ConnectionSpec.Builder(ConnectionSpec.MODERN_TLS)
            .tlsVersions(TlsVersion.TLS_1_0) //protocol version
            .cipherSuites(
                    CipherSuite.TLS_RSA_WITH_RC4_128_SHA, //cipher method
                    CipherSuite.TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
                    CipherSuite.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
                    CipherSuite.TLS_DHE_RSA_WITH_AES_128_GCM_SHA256)
            .build();

    OkHttpClient client = new OkHttpClient();
    client.setConnectionSpecs(Collections.singletonList(spec));
    Request request = new Request.Builder().url("https://your_website.com/").build();
    try {
        Response response = client.newCall(request).execute();
        if(response.isSuccessful()){
            logger.debug("result= {}", response.body().string());
        }
    } catch (IOException e) {
        e.printStackTrace();
    }
}

Znalazłem serwer HTTPS, który nie powiódł się w ten sposób, jeśli mój proces Klienta Java był skonfigurowany z

-Djsse.enableSNIExtension=false

Połączenie nie powiodło się z handshake_failure Po pomyślnym zakończeniu ServerHello, ale przed uruchomieniem strumienia danych.

Nie było wyraźnego Komunikatu o błędzie, który zidentyfikował problem, błąd wyglądał po prostu jak

main, READ: TLSv1.2 Alert, length = 2
main, RECV TLSv1.2 ALERT:  fatal, handshake_failure
%% Invalidated:  [Session-3, TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384]
main, called closeSocket()
main, handling exception: javax.net.ssl.SSLHandshakeException: Received fatal alert: handshake_failure

Wyizolowałem problem, próbując z i bez opcji "-Djsse.enableSNIExtension=false "

Mój był TLS wersja niezgodna błąd.

Poprzednio to było TLSv1 zmieniłem to TLSV1.2 to rozwiązało mój problem.

Używam com.google.klient http api. Kiedy komunikuję się z wewnętrzną stroną firmową, mam ten problem, gdy omyłkowo użyłem https zamiast http.

main, READ: TLSv1.2 Alert, length = 2
main, RECV TLSv1.2 ALERT:  fatal, handshake_failure
main, called closeSocket()
main, handling exception: javax.net.ssl.SSLHandshakeException: Received fatal alert: handshake_failure
main, IOException in getSession():  javax.net.ssl.SSLHandshakeException: Received fatal alert: handshake_failure
main, called close()
main, called closeInternal(true)
262 [main] DEBUG org.apache.http.impl.conn.DefaultClientConnection  - Connection shut down
main, called close()
main, called closeInternal(true)
263 [main] DEBUG org.apache.http.impl.conn.tsccm.ThreadSafeClientConnManager  - Released connection is not reusable.
263 [main] DEBUG org.apache.http.impl.conn.tsccm.ConnPoolByRoute  - Releasing connection [HttpRoute[{s}->https://<I-replaced>]][null]
263 [main] DEBUG org.apache.http.impl.conn.tsccm.ConnPoolByRoute  - Notifying no-one, there are no waiting threads
Exception in thread "main" javax.net.ssl.SSLPeerUnverifiedException: peer not authenticated
    at sun.security.ssl.SSLSessionImpl.getPeerCertificates(SSLSessionImpl.java:431)
    at org.apache.http.conn.ssl.AbstractVerifier.verify(AbstractVerifier.java:128)
    at org.apache.http.conn.ssl.SSLSocketFactory.connectSocket(SSLSocketFactory.java:339)
    at org.apache.http.impl.conn.DefaultClientConnectionOperator.openConnection(DefaultClientConnectionOperator.java:123)
    at org.apache.http.impl.conn.AbstractPoolEntry.open(AbstractPoolEntry.java:147)
    at org.apache.http.impl.conn.AbstractPooledConnAdapter.open(AbstractPooledConnAdapter.java:108)
    at org.apache.http.impl.client.DefaultRequestDirector.execute(DefaultRequestDirector.java:415)
    at org.apache.http.impl.client.AbstractHttpClient.execute(AbstractHttpClient.java:641)
    at org.apache.http.impl.client.AbstractHttpClient.execute(AbstractHttpClient.java:576)
    at org.apache.http.impl.client.AbstractHttpClient.execute(AbstractHttpClient.java:554)
    at com.google.api.client.http.apache.ApacheHttpRequest.execute(ApacheHttpRequest.java:67)
    at com.google.api.client.http.HttpRequest.execute(HttpRequest.java:960)

Miałem podobny problem; aktualizacja do Apache HTTPClient 4.5.3 go naprawiono.

W moim przypadku cert jest importowany, błąd pozostaje, rozwiązałem to dodając System.setProperty("https.protocols", "TLSv1.2,TLSv1.1,SSLv3"); przed connect

Ugg! Okazało się to dla mnie po prostu problemem w wersji Java. Dostałem błąd uścisku dłoni za pomocą JRE 1.6 i wszystko działało idealnie za pomocą JRE 1.8.0_144.

Zastrzeżenie: nie jestem świadomy, czy odpowiedź będzie pomocna dla wielu osób, po prostu dzielenie się, ponieważ może .

Otrzymywałem ten błąd podczas używania Parasoft SOATest do wysyłania żądania XML (SOAP) .

Problem polegał na tym, że wybrałem zły alias z rozwijanego menu po dodaniu certyfikatu i uwierzytelnieniu go.

W moim przypadku strona może po prostu użyć TLSv1. 2. a ja używam apache httpclient 4.5.6, używam tego kodu i instaluję jce aby to rozwiązać (JDK1. 7):

Jce

Jdk7 http://www.oracle.com/technetwork/java/javase/downloads/jce-7-download-432124.html

Jdk 8 http://www.oracle.com/technetwork/java/javase/downloads/jce8-download-2133166.html

Kod:

SSLContext sslContext = SSLContext.getDefault();

  SSLConnectionSocketFactory sslConnectionFactory = new SSLConnectionSocketFactory(
      sslContext,
      new String[]{"TLSv1.2"}, // important
      null,
      NoopHostnameVerifier.INSTANCE);

  Registry<ConnectionSocketFactory> registry = RegistryBuilder.<ConnectionSocketFactory>create()
      .register("https", sslConnectionFactory)
      .register("http", PlainConnectionSocketFactory.INSTANCE)
      .build();

  HttpClientConnectionManager ccm = new BasicHttpClientConnectionManager(registry);
  httpclient = HttpClientBuilder.create().
      .setSSLSocketFactory(sslConnectionFactory)
      .setConnectionManager(ccm)
      .build();