T********i 发帖数: 2416 | 1 bug一直不断。
带病运行是当前所有系统的属性。
唯一的区别,就是开源的承认,毕源的千方百计抵赖。 |
c********l 发帖数: 8138 | 2 re这个
话说我这两天正好在捣鼓这个
Openssl 生成的key/cert + Tomcat 7 + APR Connector
结果发现了一个莫名其妙的bug
按照道理,只要SSL的链接成功建立,都会有Session ID
具体体现是getAttribute( "javax.servlet.request.ssl_session")必然有返回值
但是,在某种特殊条件下会诡异地返回null
也就是说,
如果客户端浏览器将self signed的证书加入root CA ,并且在不打开java.net.debug
=all的情况下,那么session ID 为null
这两个条件,只要去掉其中任意一个,session id依然能返回
不知道到底是java还是Tomcat 7还是OpenSSL的问题,总之三个里面必然有一个
有问题。
【在 T********i 的大作中提到】![](/moin_static193/solenoid/img/up.png) : bug一直不断。 : 带病运行是当前所有系统的属性。 : 唯一的区别,就是开源的承认,毕源的千方百计抵赖。
|
T********i 发帖数: 2416 | 3 我碰到的问题是,如果release buffer,在多个concurrent connection的情况下,一
个session的某个packet会传递给另一个session,导致验证错误。
debug
【在 c********l 的大作中提到】![](/moin_static193/solenoid/img/up.png) : re这个 : 话说我这两天正好在捣鼓这个 : Openssl 生成的key/cert + Tomcat 7 + APR Connector : 结果发现了一个莫名其妙的bug : 按照道理,只要SSL的链接成功建立,都会有Session ID : 具体体现是getAttribute( "javax.servlet.request.ssl_session")必然有返回值 : 但是,在某种特殊条件下会诡异地返回null : 也就是说, : 如果客户端浏览器将self signed的证书加入root CA ,并且在不打开java.net.debug : =all的情况下,那么session ID 为null
|
c********l 发帖数: 8138 | 4 你的Server端是用的什么?
APR应该没有release buffer,因为它好像连session manager都没有。
【在 T********i 的大作中提到】![](/moin_static193/solenoid/img/up.png) : 我碰到的问题是,如果release buffer,在多个concurrent connection的情况下,一 : 个session的某个packet会传递给另一个session,导致验证错误。 : : debug
|
h**********c 发帖数: 4120 | 5 tomcat use sun/Java cipher suite,
not openssl, source your self,
I am not responsible
debug
【在 c********l 的大作中提到】![](/moin_static193/solenoid/img/up.png) : re这个 : 话说我这两天正好在捣鼓这个 : Openssl 生成的key/cert + Tomcat 7 + APR Connector : 结果发现了一个莫名其妙的bug : 按照道理,只要SSL的链接成功建立,都会有Session ID : 具体体现是getAttribute( "javax.servlet.request.ssl_session")必然有返回值 : 但是,在某种特殊条件下会诡异地返回null : 也就是说, : 如果客户端浏览器将self signed的证书加入root CA ,并且在不打开java.net.debug : =all的情况下,那么session ID 为null
|
h**********c 发帖数: 4120 | 6 i am not sure openssl is really open
never got the complete source to read, but there is work-around, leave to
the reader as hw
maybe the only way is to compile kernel yourself and then compile openssl,
never tried.
this thing is not a free lunch, ykwim. |
c********l 发帖数: 8138 | 7 Tomcat有两种不同的connector.
一种是NIO/BIO,如果用这种connector,需要用Java cipher suite
采用java keystore方式
另一种是APR,
在用APR时,需要单纯配置一个dll(windows环境下)
APR读取OpenSSL格式的Key file / Cert file
OpenSSL格式与Java的keytool并不兼容
【在 h**********c 的大作中提到】![](/moin_static193/solenoid/img/up.png) : tomcat use sun/Java cipher suite, : not openssl, source your self, : I am not responsible : : debug
|
s***e 发帖数: 108 | 8 这个不应该是openssl的问题吧
OpenSSL生成key/cert后, 就没OpenSSL啥事了呀
你有packet dump吗?看着可能是用了session ticket.
SSL/TLS现在问题就是太复杂,实现又各有各的,OpenSSL也没办法吧
debug
【在 c********l 的大作中提到】![](/moin_static193/solenoid/img/up.png) : re这个 : 话说我这两天正好在捣鼓这个 : Openssl 生成的key/cert + Tomcat 7 + APR Connector : 结果发现了一个莫名其妙的bug : 按照道理,只要SSL的链接成功建立,都会有Session ID : 具体体现是getAttribute( "javax.servlet.request.ssl_session")必然有返回值 : 但是,在某种特殊条件下会诡异地返回null : 也就是说, : 如果客户端浏览器将self signed的证书加入root CA ,并且在不打开java.net.debug : =all的情况下,那么session ID 为null
|
s***e 发帖数: 108 | 9 it is. You can sure compile OpenSSL from source. No need to compile kernel
by yourself.
【在 h**********c 的大作中提到】![](/moin_static193/solenoid/img/up.png) : i am not sure openssl is really open : never got the complete source to read, but there is work-around, leave to : the reader as hw : maybe the only way is to compile kernel yourself and then compile openssl, : never tried. : this thing is not a free lunch, ykwim.
|