[解決済み] SSLハンドシェイクで「Could not generate DH keypair」例外が発生するのはなぜですか?
質問
あるIRCサーバーでSSL接続をすると(他のサーバーではできない - おそらくサーバーが好む暗号化方式が原因)、次のような例外が発生します。
Caused by: java.lang.RuntimeException: Could not generate DH keypair
at com.sun.net.ssl.internal.ssl.DHCrypt.<init>(DHCrypt.java:106)
at com.sun.net.ssl.internal.ssl.ClientHandshaker.serverKeyExchange(ClientHandshaker.java:556)
at com.sun.net.ssl.internal.ssl.ClientHandshaker.processMessage(ClientHandshaker.java:183)
at com.sun.net.ssl.internal.ssl.Handshaker.processLoop(Handshaker.java:593)
at com.sun.net.ssl.internal.ssl.Handshaker.process_record(Handshaker.java:529)
at com.sun.net.ssl.internal.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:893)
at com.sun.net.ssl.internal.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1138)
at com.sun.net.ssl.internal.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1165)
... 3 more
最終的な原因
Caused by: java.security.InvalidAlgorithmParameterException: Prime size must be multiple of 64, and can only range from 512 to 1024 (inclusive)
at com.sun.crypto.provider.DHKeyPairGenerator.initialize(DashoA13*..)
at java.security.KeyPairGenerator$Delegate.initialize(KeyPairGenerator.java:627)
at com.sun.net.ssl.internal.ssl.DHCrypt.<init>(DHCrypt.java:100)
... 10 more
この問題が発生するサーバーの例は aperture.esper.net:6697 です (これは IRC サーバーです)。この問題が発生しないサーバーの例は、kornbluth.freenode.net:6697です。[驚くことではありませんが、各ネットワーク上のすべてのサーバーは、同じそれぞれの挙動を共有しています]。
私のコード(前述の通り、いくつかのSSLサーバに接続すると動作します)は、以下の通りです。
SSLContext sslContext = SSLContext.getInstance("SSL");
sslContext.init(null, trustAllCerts, new SecureRandom());
s = (SSLSocket)sslContext.getSocketFactory().createSocket();
s.connect(new InetSocketAddress(host, port), timeout);
s.setSoTimeout(0);
((SSLSocket)s).startHandshake();
例外をスローするのは最後のstartHandshakeです。そして、確かに 'trustAllCerts' で何らかのマジックが行われています。このコードは、SSL システムに証明書の検証をさせないように強制しています。(だから...証明書の問題ではありません)
明らかにesperのサーバーの設定が間違っている可能性もありますが、検索してみたところ、esperのSSLポートに問題があり、「openssl」が接続しているという文献は他にありませんでした(以下参照)。ということは、JavaのデフォルトのSSLサポートの制限か何かかな、と思っているのですが。何か提案はありますか?
コマンドラインから「openssl」を使って aperture.esper.net 6697 に接続すると、次のようになります。
~ $ openssl s_client -connect aperture.esper.net:6697
CONNECTED(00000003)
depth=0 /C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/[email protected]
verify error:num=18:self signed certificate
verify return:1
depth=0 /C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/[email protected]
verify return:1
---
Certificate chain
0 s:/C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/[email protected]
i:/C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/[email protected]
---
Server certificate
-----BEGIN CERTIFICATE-----
[There was a certificate here, but I deleted it to save space]
-----END CERTIFICATE-----
subject=/C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/[email protected]
issuer=/C=GB/ST=England/L=London/O=EsperNet/OU=aperture.esper.net/CN=*.esper.net/[email protected]
---
No client certificate CA names sent
---
SSL handshake has read 2178 bytes and written 468 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : TLSv1
Cipher : DHE-RSA-AES256-SHA
Session-ID: 51F1D40A1B044700365D3BD1C61ABC745FB0C347A334E1410946DCB5EFE37AFD
Session-ID-ctx:
Master-Key: DF8194F6A60B073E049C87284856B5561476315145B55E35811028C4D97F77696F676DB019BB6E271E9965F289A99083
Key-Arg : None
Start Time: 1311801833
Timeout : 300 (sec)
Verify return code: 18 (self signed certificate)
---
前述のように、この後、正常に接続されました。これは、私のJavaアプリに言えることではありません。
OS X 10.6.8、Javaバージョン1.6.0_26を使用しています。
解決方法は?
問題は、素子のサイズです。Javaが許容する最大サイズは1024ビットです。これは既知の問題です( JDK-6521495 ).
リンク先のバグレポートには 回避策 BouncyCastleのJCE実装を使用しています。うまくいけば、これでうまくいくはずです。
アップデイト
バグとして報告された JDK-7044060 で、最近修正されました。
ただし、上限が引き上げられたのは2048ビットまでであることに注意してください。サイズ > 2048 bit の場合、次のようなものがあります。 JDK-8072452 - DH キーの最大プライムサイズを削除しました。 修正されたのは9のようです。
関連
-
[解決済み] if / for / while 内で "Missing return statement" が発生する。
-
[解決済み] メソッドがスーパータイプのメソッドをオーバーライドまたは実装していない - Overrideの場合
-
[解決済み】Eclipseがエラーメッセージ "Java was started but returned exit code = 1" を返す
-
[解決済み】 JAVA 変数宣言はここではできない
-
[解決済み】java 'jar'が内部コマンドまたは外部コマンドとして認識されない。
-
[解決済み】Javaメソッドスタブ
-
[解決済み] java.sql.SQLException を取得しました。ResultSet が終了した後の操作は許可されません。
-
[解決済み] JavaでSSLピアが正しくシャットダウンされない
-
[解決済み】Ubuntu: OpenJDK 8 - パッケージを見つけることができません。
-
[解決済み] Could not find or load main class "とはどういう意味ですか?
最新
-
nginxです。[emerg] 0.0.0.0:80 への bind() に失敗しました (98: アドレスは既に使用中です)
-
htmlページでギリシャ文字を使うには
-
ピュアhtml+cssでの要素読み込み効果
-
純粋なhtml + cssで五輪を実現するサンプルコード
-
ナビゲーションバー・ドロップダウンメニューのHTML+CSSサンプルコード
-
タイピング効果を実現するピュアhtml+css
-
htmlの選択ボックスのプレースホルダー作成に関する質問
-
html css3 伸縮しない 画像表示効果
-
トップナビゲーションバーメニュー作成用HTML+CSS
-
html+css 実装 サイバーパンク風ボタン
おすすめ
-
[解決済み】StringUtils.isBlank() vs String.isEmpty()
-
[解決済み】"|="の意味は何ですか?(パイプ等号演算子)
-
[解決済み】 java.lang.ClassNotFoundException: oracle.jdbc.driver.OracleDriver [重複]。
-
[解決済み】Javaで無限大を実装する方法とは?
-
[解決済み】Mockitoでモックからチェックされた例外を投げる
-
[解決済み】keytoolエラー 鍵屋が改ざんされたか、パスワードが不正確だった場合
-
[解決済み】Gradleがtools.jarを見つけ出さない
-
[解決済み】java.io.IOException: 壊れたパイプ
-
[解決済み】Java LinkedListでNodesを使用する
-
[解決済み】Eclipseで「パッケージエクスプローラー」ビューが見つからない