148

当我与一些 IRC 服务器（但不是其他服务器 - 可能是由于服务器的首选加密方法）建立 SSL 连接时，我得到以下异常：

Caused by: java.lang.RuntimeException: Could not generate DH keypair
    at com.sun.net.ssl.internal.ssl.DHCrypt.<init>(DHCrypt.java:106)
    at com.sun.net.ssl.internal.ssl.ClientHandshaker.serverKeyExchange(ClientHandshaker.java:556)
    at com.sun.net.ssl.internal.ssl.ClientHandshaker.processMessage(ClientHandshaker.java:183)
    at com.sun.net.ssl.internal.ssl.Handshaker.processLoop(Handshaker.java:593)
    at com.sun.net.ssl.internal.ssl.Handshaker.process_record(Handshaker.java:529)
    at com.sun.net.ssl.internal.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:893)
    at com.sun.net.ssl.internal.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1138)
    at com.sun.net.ssl.internal.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1165)
    ... 3 more

最终原因：

Caused by: java.security.InvalidAlgorithmParameterException: Prime size must be multiple of 64, and can only range from 512 to 1024 (inclusive)
    at com.sun.crypto.provider.DHKeyPairGenerator.initialize(DashoA13*..)
    at java.security.KeyPairGenerator$Delegate.initialize(KeyPairGenerator.java:627)
    at com.sun.net.ssl.internal.ssl.DHCrypt.<init>(DHCrypt.java:100)
    ... 10 more

演示此问题的服务器示例是 Aperture.esper.net:6697（这是一个 IRC 服务器）。kornbluth.freenode.net:6697 是未证明该问题的服务器示例。[毫不奇怪，每个网络上的所有服务器都共享相同的各自行为。]

我的代码（如前所述，在连接到某些 SSL 服务器时确实有效）是：

    SSLContext sslContext = SSLContext.getInstance("SSL");
    sslContext.init(null, trustAllCerts, new SecureRandom());
    s = (SSLSocket)sslContext.getSocketFactory().createSocket();
    s.connect(new InetSocketAddress(host, port), timeout);
    s.setSoTimeout(0);
    ((SSLSocket)s).startHandshake();

正是最后一次 startHandshake 引发了异常。是的，“trustAllCerts”有一些魔力；该代码强制 SSL 系统不验证证书。（所以......不是证书问题。）

显然，一种可能性是 esper 的服务器配置错误，但我搜索并没有找到任何其他关于 esper 的 SSL 端口有问题的人的引用，并且“openssl”连接到它（见下文）。所以我想知道这是否是 Java 默认 SSL 支持的限制，或者其他什么。有什么建议么？

当我从命令行使用“openssl”连接到 Aperture.esper.net 6697 时，会发生以下情况：

~ $ openssl s_client -connect aperture.esper.net:6697
CONNECTED(00000003)
depth=0 /C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/emailAddress=support@esper.net
verify error:num=18:self signed certificate
verify return:1
depth=0 /C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/emailAddress=support@esper.net
verify return:1
---
Certificate chain
 0 s:/C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/emailAddress=support@esper.net
   i:/C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/emailAddress=support@esper.net
---
Server certificate
-----BEGIN CERTIFICATE-----
[There was a certificate here, but I deleted it to save space]
-----END CERTIFICATE-----
subject=/C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/emailAddress=support@esper.net
issuer=/C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/emailAddress=support@esper.net
---
No client certificate CA names sent
---
SSL handshake has read 2178 bytes and written 468 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : DHE-RSA-AES256-SHA
    Session-ID: 51F1D40A1B044700365D3BD1C61ABC745FB0C347A334E1410946DCB5EFE37AFD
    Session-ID-ctx: 
    Master-Key: DF8194F6A60B073E049C87284856B5561476315145B55E35811028C4D97F77696F676DB019BB6E271E9965F289A99083
    Key-Arg   : None
    Start Time: 1311801833
    Timeout   : 300 (sec)
    Verify return code: 18 (self signed certificate)
---

如前所述，毕竟，它确实连接成功，这比我的 Java 应用程序所能说的要多。

如果相关，我使用的是 OS X 10.6.8，Java 版本 1.6.0_26。

4

21 回答 21

122

问题是素数大小。Java 接受的最大可接受大小是 1024 位。这是一个已知问题（请参阅JDK-6521495）。

我链接到的错误报告提到了使用 BouncyCastle 的 JCE 实现的解决方法。希望这对你有用。

更新

这被报告为错误JDK-7044060并在最近修复。

但是请注意，该限制仅提高到 2048 位。对于大于 2048 位的大小，有JDK-8072452 - 删除 DH Keys 的最大素数大小；修复似乎适用于 9。

于 2011-07-27T22:39:41.737 回答
69

“Java Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files”答案对我不起作用，但 BouncyCastle 的 JCE 提供者建议对我有用。

以下是我在 Mac OSC 10.7.5 上使用 Java 1.6.0_65-b14-462 所采取的步骤

1）下载这些罐子：

2）将这些罐子移动到 $JAVA_HOME/lib/ext

3) 编辑 $JAVA_HOME/lib/security/java.security 如下：security.provider.1=org.bouncycastle.jce.provider.BouncyCastleProvider

使用 JRE 重新启动应用程序并尝试一下

于 2015-03-20T22:12:34.157 回答
16

这是我的解决方案（java 1.6），我也会感兴趣为什么我必须这样做：

我从 javax.security.debug=ssl 注意到，有时使用的密码套件是 TLS_DHE_...，有时是 TLS_ECDHE_...。如果我添加 BouncyCastle，则会发生后者。如果选择了 TLS_ECDHE_，则它在大部分时间都有效，但并非总是如此，因此即使添加 BouncyCastle 提供程序也是不可靠的（每隔一段时间左右都会失败并出现相同的错误）。我猜 Sun SSL 实现中的某个地方有时会选择DHE，有时会选择ECDHE。

因此，此处发布的解决方案依赖于完全删除 TLS_DHE_ 密码。注意：该解决方案不需要 BouncyCastle。

因此，通过以下方式创建服务器认证文件：

echo |openssl s_client -connect example.org:443 2>&1 |sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'

保存它，因为稍后将引用它，而不是这里是 SSL http get 的解决方案，不包括 TLS_DHE_ 密码套件。

package org.example.security;

import java.io.BufferedInputStream;
import java.io.BufferedReader;
import java.io.FileInputStream;
import java.io.IOException;
import java.io.InputStream;
import java.io.InputStreamReader;
import java.net.InetAddress;
import java.net.Socket;
import java.net.URL;
import java.net.UnknownHostException;
import java.security.KeyStore;
import java.security.cert.Certificate;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;
import java.util.ArrayList;
import java.util.List;

import javax.net.ssl.HttpsURLConnection;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLParameters;
import javax.net.ssl.SSLSocket;
import javax.net.ssl.SSLSocketFactory;
import javax.net.ssl.TrustManagerFactory;

import org.apache.log4j.Logger;

public class SSLExcludeCipherConnectionHelper {

    private Logger logger = Logger.getLogger(SSLExcludeCipherConnectionHelper.class);

    private String[] exludedCipherSuites = {"_DHE_","_DH_"};

    private String trustCert = null;

    private TrustManagerFactory tmf;

    public void setExludedCipherSuites(String[] exludedCipherSuites) {
        this.exludedCipherSuites = exludedCipherSuites;
    }

    public SSLExcludeCipherConnectionHelper(String trustCert) {
        super();
        this.trustCert = trustCert;
        //Security.addProvider(new BouncyCastleProvider());
        try {
            this.initTrustManager();
        } catch (Exception ex) {
            ex.printStackTrace();
        }
    }

    private void initTrustManager() throws Exception {
        CertificateFactory cf = CertificateFactory.getInstance("X.509");
        InputStream caInput = new BufferedInputStream(new FileInputStream(trustCert));
        Certificate ca = null;
        try {
            ca = cf.generateCertificate(caInput);
            logger.debug("ca=" + ((X509Certificate) ca).getSubjectDN());
        } finally {
            caInput.close();
        }

        // Create a KeyStore containing our trusted CAs
        KeyStore keyStore = KeyStore.getInstance("jks");
        keyStore.load(null, null);
        keyStore.setCertificateEntry("ca", ca);

        // Create a TrustManager that trusts the CAs in our KeyStore
        String tmfAlgorithm = TrustManagerFactory.getDefaultAlgorithm();
        tmf = TrustManagerFactory.getInstance(tmfAlgorithm);
        tmf.init(keyStore);
    }

    public String get(URL url) throws Exception {
        // Create an SSLContext that uses our TrustManager
        SSLContext context = SSLContext.getInstance("TLS");
        context.init(null, tmf.getTrustManagers(), null);
        SSLParameters params = context.getSupportedSSLParameters();
        List<String> enabledCiphers = new ArrayList<String>();
        for (String cipher : params.getCipherSuites()) {
            boolean exclude = false;
            if (exludedCipherSuites != null) {
                for (int i=0; i<exludedCipherSuites.length && !exclude; i++) {
                    exclude = cipher.indexOf(exludedCipherSuites[i]) >= 0;
                }
            }
            if (!exclude) {
                enabledCiphers.add(cipher);
            }
        }
        String[] cArray = new String[enabledCiphers.size()];
        enabledCiphers.toArray(cArray);

        // Tell the URLConnection to use a SocketFactory from our SSLContext
        HttpsURLConnection urlConnection =
            (HttpsURLConnection)url.openConnection();
        SSLSocketFactory sf = context.getSocketFactory();
        sf = new DOSSLSocketFactory(sf, cArray);
        urlConnection.setSSLSocketFactory(sf);
        BufferedReader in = new BufferedReader(new InputStreamReader(urlConnection.getInputStream()));
        String inputLine;
        StringBuffer buffer = new StringBuffer();
        while ((inputLine = in.readLine()) != null) 
            buffer.append(inputLine);
        in.close();

        return buffer.toString();
    }

    private class DOSSLSocketFactory extends javax.net.ssl.SSLSocketFactory {

        private SSLSocketFactory sf = null;
        private String[] enabledCiphers = null;

        private DOSSLSocketFactory(SSLSocketFactory sf, String[] enabledCiphers) {
            super();
            this.sf = sf;
            this.enabledCiphers = enabledCiphers;
        }

        private Socket getSocketWithEnabledCiphers(Socket socket) {
            if (enabledCiphers != null && socket != null && socket instanceof SSLSocket)
                ((SSLSocket)socket).setEnabledCipherSuites(enabledCiphers);

            return socket;
        }

        @Override
        public Socket createSocket(Socket s, String host, int port,
                boolean autoClose) throws IOException {
            return getSocketWithEnabledCiphers(sf.createSocket(s, host, port, autoClose));
        }

        @Override
        public String[] getDefaultCipherSuites() {
            return sf.getDefaultCipherSuites();
        }

        @Override
        public String[] getSupportedCipherSuites() {
            if (enabledCiphers == null)
                return sf.getSupportedCipherSuites();
            else
                return enabledCiphers;
        }

        @Override
        public Socket createSocket(String host, int port) throws IOException,
                UnknownHostException {
            return getSocketWithEnabledCiphers(sf.createSocket(host, port));
        }

        @Override
        public Socket createSocket(InetAddress address, int port)
                throws IOException {
            return getSocketWithEnabledCiphers(sf.createSocket(address, port));
        }

        @Override
        public Socket createSocket(String host, int port, InetAddress localAddress,
                int localPort) throws IOException, UnknownHostException {
            return getSocketWithEnabledCiphers(sf.createSocket(host, port, localAddress, localPort));
        }

        @Override
        public Socket createSocket(InetAddress address, int port,
                InetAddress localaddress, int localport) throws IOException {
            return getSocketWithEnabledCiphers(sf.createSocket(address, port, localaddress, localport));
        }

    }
}

最后是它的使用方法（如果证书的路径是从 openssl 保存的，则为 certFilePath）：

try {
            URL url = new URL("https://www.example.org?q=somedata");            
            SSLExcludeCipherConnectionHelper sslExclHelper = new SSLExcludeCipherConnectionHelper(certFilePath);
            logger.debug(
                    sslExclHelper.get(url)
            );
        } catch (Exception ex) {
            ex.printStackTrace();
        }
于 2013-08-15T13:47:50.460 回答
13

上面的答案是正确的，但就解决方法而言，当我将 BouncyCastle 实现设置为首选提供者时，我遇到了问题：

java.lang.ArrayIndexOutOfBoundsException: 64
    at com.sun.crypto.provider.TlsPrfGenerator.expand(DashoA13*..)

这也在我发现的一个论坛帖子中进行了讨论，但没有提到解决方案。 http://www.javakb.com/Uwe/Forum.aspx/java-programmer/47512/TLS-problems

我找到了一种适用于我的情况的替代解决方案，尽管我对此并不满意。解决方案是设置它，使 Diffie-Hellman 算法根本不可用。然后，假设服务器支持替代算法，它将在正常协商期间进行选择。显然，这样做的缺点是，如果有人设法找到一个仅支持 1024 位或更少 Diffie-Hellman 的服务器，那么这实际上意味着它无法在以前工作的地方工作。

这是给定 SSLSocket 的代码（在连接之前）：

List<String> limited = new LinkedList<String>();
for(String suite : ((SSLSocket)s).getEnabledCipherSuites())
{
    if(!suite.contains("_DHE_"))
    {
        limited.add(suite);
    }
}
((SSLSocket)s).setEnabledCipherSuites(limited.toArray(
    new String[limited.size()]));

讨厌。

于 2011-07-28T16:30:49.783 回答
13

您可以在 jdk 中完全禁用 DHE，编辑 jre/lib/security/java.security 并确保禁用 DHE，例如。像

jdk.tls.disabledAlgorithms=SSLv3, DHE.

于 2015-07-10T07:44:48.493 回答
12

您可以动态安装提供程序：

1）下载这些罐子：

  • bcprov-jdk15on-152.jar
  • bcprov-ext-jdk15on-152.jar

2）将罐子复制到WEB-INF/lib（或您的类路径）

3）动态添加提供者：

import org.bouncycastle.jce.provider.BouncyCastleProvider;

...

Security.addProvider(new BouncyCastleProvider());

于 2015-05-07T12:44:48.713 回答
8

这是一篇相当老的帖子，但如果您使用 Apache HTTPD，您可以限制 DH 大小。见http://httpd.apache.org/docs/current/ssl/ssl_faq.html#javadh

于 2014-11-19T17:08:12.340 回答
7

您可能有不正确的 Maven 依赖项。您必须在 Maven 依赖层次结构中找到这些库：

bcprov-jdk14, bcpkix-jdk14, bcmail-jdk14

如果你有这些依赖，那就是错误，你应该这样做：

添加依赖：

<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcmail-jdk15on</artifactId>
    <version>1.59</version>
</dependency>

从包含错误依赖项的工件中排除这些依赖项，在我的情况下是：

<dependency>
    <groupId>com.lowagie</groupId>
    <artifactId>itext</artifactId>
    <version>2.1.7</version>
    <exclusions>
        <exclusion>
            <groupId>org.bouncycastle</groupId>
            <artifactId>bctsp-jdk14</artifactId>                
        </exclusion>
        <exclusion>
            <groupId>bouncycastle</groupId>
            <artifactId>bcprov-jdk14</artifactId>               
        </exclusion>
        <exclusion>
            <groupId>bouncycastle</groupId>
            <artifactId>bcmail-jdk14</artifactId>               
        </exclusion>
    </exclusions>       
</dependency>
于 2018-03-22T09:03:54.193 回答
6

如果您使用的是 jdk1.7.0_04，请升级到 jdk1.7.0_21。该问题已在该更新中得到解决。

于 2013-05-22T08:29:27.370 回答
5

尝试从Java 下载站点下载“Java Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files”并替换 JRE 中的文件。

这对我有用，我什至不需要使用 BouncyCastle——标准的 Sun JCE 能够连接到服务器。

PS。当我在更改策略文件之前尝试使用 BouncyCastle 时，我得到了同样的错误（ArrayIndexOutOfBoundsException：64），所以看起来我们的情况非常相似。

于 2011-11-17T21:02:40.067 回答
5

如果你仍然被这个问题困扰并且你正在使用 Apache httpd v> 2.4.7，试试这个： http ://httpd.apache.org/docs/current/ssl/ssl_faq.html#javadh

从网址复制：

从版本 2.4.7 开始，mod_ssl 将使用 DH 参数，其中包括长度超过 1024 位的素数。但是，Java 7 和更早版本将它们对 DH 素数大小的支持限制为最多 1024 位。

如果您的基于 Java 的客户端异常中止，例如 java.lang.RuntimeException: Could not generate DH keypair and java.security.InvalidAlgorithmParameterException: Prime size must be multiple of 64, and can only range from 512 to 1024 (inclusive), and httpd 记录 tlsv1 警报内部错误（SSL 警报编号 80）（在 LogLevel 信息或更高级别），您可以使用 SSLCipherSuite（可能与 SSLHonorCipherOrder 一起）重新排列 mod_ssl 的密码列表，或者您可以使用带有 1024 位素数的自定义 DH 参数，它总是优先于任何内置的 DH 参数。

要生成自定义 DH 参数，请使用

openssl dhparam 1024

命令。或者，您可以使用 RFC 2409 第 6.2 节中的以下标准 1024 位 DH 参数：

-----BEGIN DH PARAMETERS-----
MIGHAoGBAP//////////yQ/aoiFowjTExmKLgNwc0SkCTgiKZ8x0Agu+pjsTmyJR
Sgh5jjQE3e+VGbPNOkMbMCsKbfJfFDdP4TVtbVHCReSFtXZiXn7G9ExC6aY37WsL
/1y29Aa37e44a/taiZ+lrp8kEXxLH+ZJKGZR7OZTgf//////////AgEC
-----END DH PARAMETERS-----

将自定义参数（包括“BEGIN DH PARAMETERS”和“END DH PARAMETERS”行）添加到您使用 SSLCertificateFile 指令配置的第一个证书文件的末尾。

我在客户端使用 java 1.6，它解决了我的问题。我没有降低密码套件或类似的东西，而是在证书文件中添加了一个自定义生成的 DH 参数。

于 2015-11-14T18:57:58.360 回答
2

我对 Yandex Maps 服务器、JDK 1.6 和 Apache HttpClient 4.2.1 也有同样的问题。错误是

javax.net.ssl.SSLPeerUnverifiedException: peer not authenticated

通过启用调试，-Djavax.net.debug=all 日志中有一条消息

Could not generate DH keypair

我已通过添加 BouncyCastle 库bcprov-jdk16-1.46.jar并在地图服务类中注册提供程序来解决此问题

public class MapService {

    static {
        Security.addProvider(new BouncyCastleProvider());
    }

    public GeocodeResult geocode() {

    }

}

提供者在第一次使用时注册MapService。

于 2015-11-21T17:11:15.047 回答
2

我在运行 JDK 6 的 CentOS 服务器上遇到 SSL 错误。

我的计划是安装更高版本的 JDK（JDK 7）以与 JDK 6 共存，但事实证明仅仅安装更新的 JDKrpm -i是不够的。

JDK 7 安装只有使用rpm -U升级选项才能成功，如下图所示。

1.下载JDK 7

wget -O /root/jdk-7u79-linux-x64.rpm --no-cookies --no-check-certificate --header "Cookie: gpw_e24=http%3A%2F%2Fwww.oracle.com%2F; o raclelicense=accept-securebackup-cookie" "http://download.oracle.com/otn-pub/java/jdk/7u79-b15/jdk-7u79-linux-x64.rpm"

2. RPM安装失败

rpm -ivh jdk-7u79-linux-x64.rpm
Preparing...                ########################################### [100%]
        file /etc/init.d/jexec from install of jdk-2000:1.7.0_79-fcs.x86_64 conflicts with file from package jdk-2000:1.6.0_43-fcs.x86_64

3. RPM升级成功

rpm -Uvh jdk-7u79-linux-x64.rpm
Preparing...                ########################################### [100%]
   1:jdk                    ########################################### [100%]
Unpacking JAR files...
        rt.jar...
        jsse.jar...
        charsets.jar...
        tools.jar...
        localedata.jar...
        jfxrt.jar...

4.确认新版本

java -version
java version "1.7.0_79"
Java(TM) SE Runtime Environment (build 1.7.0_79-b15)
Java HotSpot(TM) 64-Bit Server VM (build 24.79-b02, mixed mode)
于 2017-03-16T16:25:46.777 回答
1

通过升级到 JDK 8 解决了这个问题。

于 2016-06-01T15:08:47.950 回答
1

我在 JDK 1.6.45 上使用了 Coldfusion 8，并且在给我的只是红十字而不是图像时遇到了问题，而且 cfhttp 无法使用 ssl 连接到本地网络服务器。

我用coldfusion 8重现的测试脚本是

<CFHTTP URL="https://www.onlineumfragen.com" METHOD="get" ></CFHTTP>
<CFDUMP VAR="#CFHTTP#">

这给了我“I/O 异常：对等体未通过身份验证”的非常普遍的错误。然后，我尝试将服务器的证书（包括根证书和中间证书）添加到 java 密钥库以及冷融合密钥库，但没有任何帮助。然后我调试了问题

java SSLPoke www.onlineumfragen.com 443

并得到

javax.net.ssl.SSLException: java.lang.RuntimeException: Could not generate DH keypair

和

Caused by: java.security.InvalidAlgorithmParameterException: Prime size must be
multiple of 64, and can only range from 512 to 1024 (inclusive)
    at com.sun.crypto.provider.DHKeyPairGenerator.initialize(DashoA13*..)
    at java.security.KeyPairGenerator$Delegate.initialize(KeyPairGenerator.java:627)
    at com.sun.net.ssl.internal.ssl.DHCrypt.<init>(DHCrypt.java:107)
    ... 10 more

然后我想到网络服务器（在我的例子中是 apache）有非常现代的 ssl 密码，并且非常严格（qualys 得分 a+）并且使用超过 1024 位的强 diffie hellmann 密钥。显然，coldfusion 和 java jdk 1.6.45 无法做到这一点。odysee 的下一步是考虑为 java 安装一个替代安全提供程序，我决定使用 bouncy castle。另见http://www.itcsolutions.eu/2011/08/22/how-to-use-bouncy-castle-cryptographic-api-in-netbeans-or-eclipse-for-java-jse-projects/

然后我下载了

bcprov-ext-jdk15on-156.jar

来自http://www.bouncycastle.org/latest_releases.html并将其安装在 C:\jdk6_45\jre\lib\ext 或您的 jdk 所在的位置，在冷融合 8 的原始安装中，它将位于 C:\JRun4\ jre\lib\ext 但我使用的是位于coldfusion 目录之外的较新的jdk (1.6.45)。将 bcprov-ext-jdk15on-156.jar 放在 \ext 目录中非常重要（这花了我大约两个小时和一些头发;-) 然后我编辑了文件 C:\jdk6_45\jre\lib\security\ java.security （使用写字板而不是 editor.exe！）并为新提供者放入一行。之后列表看起来像

#
# List of providers and their preference orders (see above):
#
security.provider.1=org.bouncycastle.jce.provider.BouncyCastleProvider
security.provider.2=sun.security.provider.Sun
security.provider.3=sun.security.rsa.SunRsaSign
security.provider.4=com.sun.net.ssl.internal.ssl.Provider
security.provider.5=com.sun.crypto.provider.SunJCE
security.provider.6=sun.security.jgss.SunProvider
security.provider.7=com.sun.security.sasl.Provider
security.provider.8=org.jcp.xml.dsig.internal.dom.XMLDSigRI
security.provider.9=sun.security.smartcardio.SunPCSC
security.provider.10=sun.security.mscapi.SunMSCAPI

（见位置 1 的新的）

然后完全重启coldfusion服务。然后你可以

java SSLPoke www.onlineumfragen.com 443 (or of course your url!)

享受这种感觉……当然还有

多么美好的夜晚，多么美好的一天。希望这会（部分或全部）对那里的人有所帮助。如果您有任何问题，请发送邮件至 info ...（以上域）。

于 2017-01-05T16:28:13.443 回答
0

我们返回了完全相同的异常错误，在上网数小时后很容易修复它。

我们下载了在 oracle.com 上可以找到的最高版本的 jdk，安装它并将 Jboss 应用程序服务器指向已安装的新 jdk 的目录。

重新启动Jboss，重新处理，问题修复！！！

于 2016-04-05T16:20:42.373 回答
0

Bamboo 5.7 + Gradle 项目 + Apache 出现此错误。Gradle 尝试通过 SSL 从我们的一台服务器获取一些依赖项。

解决方案：

  1. 生成 DH 参数：

使用 OpenSSL：

openssl dhparam 1024

示例输出：

-----BEGIN DH PARAMETERS-----
MIGHfoGBALxpfMrDpImEuPlhopxYX4L2CFqQov+FomjKyHJrzj/EkTP0T3oAkjnS
oCGh6p07kwSLS8WCtYJn1GzItiZ05LoAzPs7T3ST2dWrEYFg/dldt+arifj6oWo+
vctDyDqIjlevUE+vyR9MF6B+Rfm4Zs8VGkxmsgXuz0gp/9lmftY7AgEC
-----END DH PARAMETERS-----

  1. 将输出附加到证书文件（对于 Apache -SSLCertificateFile参数）

  2. 重启阿帕奇

  3. 重启竹子

  4. 再次尝试构建项目

于 2016-12-05T07:59:02.100 回答
0

我曾经在使用 IBM JDK 的 java SVN 客户端访问 svn.apache.org 时遇到类似的错误。目前，svn.apache.org 用户使用客户端密码偏好。

在使用数据包捕获/ javax.net.debug=ALL 运行一次后，我能够将一个 DHE 密码列入黑名单，并且一切都对我有用（而是协商 ECDHE）。

.../java/jre/lib/security/java.security:
    jdk.tls.disabledAlgorithms=SSL_DHE_RSA_WITH_AES_256_CBC_SHA

当不容易更改客户端时，这是一个很好的快速修复。

于 2017-01-07T17:00:45.627 回答
0

最近我遇到了同样的问题，在将 jdk 版本从1.6.0_45升级到jdk1.7.0_191后解决了这个问题。

于 2018-08-08T19:33:51.867 回答
-1

如果服务器支持不包含 DH 的密码，您可以强制客户端选择该密码并避免 DH 错误。如：

String pickedCipher[] ={"TLS_RSA_WITH_AES_256_CBC_SHA"};
sslsocket.setEnabledCipherSuites(pickedCipher);

请记住，从长远来看，指定一个精确的密码很容易被破坏。

于 2015-07-01T23:33:36.227 回答
-1

对我来说，以下命令行解决了这个问题：

java -jar -Dhttps.protocols=TLSv1.2 -Ddeployment.security.TLSv1.2=true -Djavax.net.debug=ssl:handshake XXXXX.jar

我正在使用 JDK 1.7.0_79

于 2016-10-18T20:17:07.807 回答