Dlaczego SSLSocket Javy wysyła wiadomość hello w wersji 2?

Question

Metodazwraca następujące wartości: [SSLv2Hello, SSLv3, TLSv1]. I rzeczywiście, gdy zgłoszę connect() i mam debugowanie SSL włączone, widzę, że cześć klient v2 jest używany:

main, WRITE: TLSv1 Handshake, length = 81 
main, WRITE: SSLv2 client hello message, length = 110 

ale znalazłem dwa (co prawda stare) odniesienia, które mówią JSSE robi nie wsparcia SSL wersja 2:

Od Fundamental Networking in Java:

'SSLv2Hello' jest pseudo-protokół, który pozwala Java, aby zainicjować uścisk dłoni z SSLv2 'hello wiadomości'. To powoduje, że nie korzysta z protokołu SSLv2, który w ogóle nie jest obsługiwany przez Javę.

I od JSSE Reference Guide:

Realizacja JSSE w J2SDK 1,4 a później wdraża SSL 3.0 i TLS 1.0. Nie implementuje SSL 2.0.

Teraz moje rozumienie jest to, że wersja 2.0 klienta cześć powinna być wysłana tylko wtedy, gdy klient robi obsługę SSL w wersji 2.0. Od RFC 2246:

TLS 1.0, które obsługują klientów serwerów SSL wersja 2.0 musi wysyłać wiadomości SSL wersja 2.0 klienta cześć [SSL2] ... Warning: możliwość wysyłania wiadomości w wersji 2.0 klienta cześć zostaną wycofane z całym pośpiechem.

Dlaczego więc Java go używa?

Answer 1

Sun JSSE nie obsługuje SSLv2, ale obsługuje SSlv2ClientHello, aby obsługiwać niektóre serwery SSL, które tego wymagają. Możesz go wyłączyć, usuwając go z włączonych protokołów.

IBM's JSSE obsługuje całkowicie SSLv2.

Z JSSE Reference Guide:

Na przykład, niektóre starsze implementacje serwera mówić tylko SSLv3 i nie rozumieją TLS. Idealnie, te implementacje powinny negocjować z SSLv3, ale niektóre po prostu się rozłączają. Dla kompatybilności wstecznej, niektóre implementacje serwera (takie jak SunJSSE) wysyłają klienta SSLv3/TLS zamkniętego w pakietu Clientvello SSLv2. Niektóre serwery nie akceptują tego formatu, w tych przypadkach w używają setEnabledProtocols do wyłączania wysyłania enkapsulowanych klientów Clientvellos SSLv2.

Wyobrażam sobie, że "implementacje serwera" powinny przeczytać "Implementacje SSL" powyżej.

EDYCJA: dzięki za cytowanie mojej książki!