Класс SSLSocket

public abstract class SSLSocket
extends Socket

Этот класс расширяет Socket и обеспечивает защищенный сокет, используя протоколы, такие как "Secure Sockets Layer" (SSL) или IETF "Transport Layer Security" (TLS).

Такие сокеты являются обычными потоковыми сокетами, но они добавляют уровень защитных механизмов поверх базового сетевого транспортного протокола, такого как TCP. Эти защиты включают:

• Защита целостности. SSL защищает от изменения сообщений активным перехватывающим устройством.
• Аутентификация. В большинстве режимов SSL обеспечивает аутентификацию участников. Серверы обычно аутентифицируются, а клиенты могут аутентифицироваться по запросу серверов.
• Конфиденциальность (Защита конфиденциальности). В большинстве режимов SSL шифрует данные, передаваемые между клиентом и сервером. Это защищает конфиденциальность данных, чтобы пассивные перехватывающие устройства не видели конфиденциальной информации, такой как финансовая или личная информация.

Эти виды защиты определяются "набором шифров", который представляет собой комбинацию криптографических алгоритмов, используемых заданным SSL-соединением. Во время процесса согласования два конечных узла должны договориться о наборе шифров, доступном в обеих средах. Если такого набора шифров нет, SSL-соединение не может быть установлено, и обмен данными невозможен.

Используемый набор шифров устанавливается процессом согласования, называемым "рукопожатием". Цель этого процесса заключается в создании или возобновлении "сессии", которая может защищать множество соединений со временем. После завершения рукопожатия вы можете получить доступ к атрибутам сессии, используя метод getSession. Инициативное рукопожатие для этого соединения может быть инициировано тремя способами:

• вызывая startHandshake, который явно начинает рукопожатие, или
• любая попытка чтения или записи данных приложения в этом сокете вызывает неявное рукопожатие, или
• вызов getSession пытается настроить сессию, если нет текущей активной сессии, и выполняется неявное рукопожатие.

Если рукопожатие по какой-либо причине завершается неудачно, SSLSocket закрывается, и дальнейшее общение невозможно.

Существуют две группы наборов шифров, которые вам нужно знать при управлении наборами шифров:

• Поддерживаемые наборы шифров: все наборы, которые поддерживаются реализацией SSL. Этот список сообщается с помощью getSupportedCipherSuites.
• Включенные наборы шифров, которые могут быть меньше полного набора поддерживаемых наборов. Эта группа устанавливается с помощью метода setEnabledCipherSuites и запрашивается с помощью метода getEnabledCipherSuites. Изначально на новом сокете будет включен набор наборов шифров по умолчанию, представляющий минимальную рекомендуемую конфигурацию.

По умолчанию реализация требует, чтобы только наборы шифров, которые аутентифицируют серверы и обеспечивают конфиденциальность, были включены по умолчанию. Только если обе стороны явно соглашаются на неаутентифицированные и/или неконфиденциальные (нешифрованные) коммуникации, такой набор шифров будет выбран.

Когда SSLSocket создаются впервые, рукопожатие не выполняется, чтобы приложения могли сначала установить свои параметры коммуникации: какие наборы шифров использовать, должен ли сокет быть в режиме клиента или сервера и т.д. Однако безопасность всегда обеспечивается к тому времени, когда данные приложения отправляются по соединению.

Вы можете зарегистрироваться для получения уведомлений о завершении рукопожатия. Это включает использование двух дополнительных классов. Объекты HandshakeCompletedEvent передаются экземплярам HandshakeCompletedListener, которые регистрируются пользователями этой API. SSLSocket создаются SSLSocketFactory, или путём accept соединения от SSLServerSocket.

SSL-сокет должен выбрать работу в режиме клиента или сервера. Это определит, кто инициирует процесс рукопожатия, а также какие сообщения должны отправлять каждая сторона. Каждое соединение должно иметь одного клиента и одного сервера, иначе рукопожатие не будет выполнено корректно. После начала начального рукопожатия сокет не может переключаться между режимами клиента и сервера, даже при выполнении повторных согласований.

Конструкторы

SSLSocket

protected SSLSocket()

Используется только подклассами. Создаёт неинициализированный, неподключённый TCP-сокет.

SSLSocket

protected SSLSocket(String host,
                    int port)
             throws IOException,
                    UnknownHostException

Параметры:

host - имя хоста, с которым необходимо подключиться, или null для адреса обратной петли.

port - номер порта сервера

Исключения:

IOException - если при создании сокета произошла ошибка ввода-вывода

SecurityException - если менеджер безопасности существует и его метод checkConnect не разрешает операцию.

UnknownHostException - если хост не известен

IllegalArgumentException - если параметр порта выходит за пределы допустимого диапазона портов, который находится в диапазоне от 0 до 65535 включительно.

См. также:

SecurityManager.checkConnect(java.lang.String, int)

SSLSocket

protected SSLSocket(InetAddress address,
                    int port)
             throws IOException

Параметры:

address - хост сервера

port - его порт

Исключения:

IOException - если при создании сокета произошла ошибка ввода-вывода

SecurityException - если менеджер безопасности существует и его метод checkConnect не разрешает операцию.

IllegalArgumentException - если параметр порта выходит за пределы допустимого диапазона портов, который находится в диапазоне от 0 до 65535 включительно.

NullPointerException - если address равно null.

См. также:

SecurityManager.checkConnect(java.lang.String, int)

SSLSocket

protected SSLSocket(String host,
                    int port,
                    InetAddress clientAddress,
                    int clientPort)
             throws IOException,
                    UnknownHostException

Параметры:

host - имя хоста, с которым необходимо подключиться, или null для адреса обратной петли.

port - номер порта сервера

clientAddress - адрес клиента, к которому привязан сокет, или null для адреса anyLocal.

clientPort - порт клиента, к которому привязан сокет, или zero для свободного порта, выбранного системой.

Исключения:

IOException - если при создании сокета произошла ошибка ввода-вывода

SecurityException - если менеджер безопасности существует и его метод checkConnect не разрешает операцию.

UnknownHostException - если хост не известен

IllegalArgumentException - если параметр порта или clientPort выходит за пределы допустимого диапазона портов, который находится в диапазоне от 0 до 65535 включительно.

См. также:

SecurityManager.checkConnect(java.lang.String, int)

SSLSocket

protected SSLSocket(InetAddress address,
                    int port,
                    InetAddress clientAddress,
                    int clientPort)
             throws IOException

Параметры:

address - хост сервера

port - его порт

clientAddress - адрес клиента, к которому привязан сокет, или null для адреса anyLocal.

clientPort - порт клиента, к которому привязан сокет, или zero для свободного порта, выбранного системой.

Исключения:

IOException - если при создании сокета произошла ошибка ввода-вывода

SecurityException - если менеджер безопасности существует и его метод checkConnect не разрешает операцию.

IllegalArgumentException - если параметр порта или clientPort выходит за пределы допустимого диапазона портов, который находится в диапазоне от 0 до 65535 включительно.

NullPointerException - если address равно null.

См. также:

SecurityManager.checkConnect(java.lang.String, int)

Методы

getSupportedCipherSuites

public abstract String[] getSupportedCipherSuites()

Возвращает имена наборов шифрования, которые могут быть включены для использования в этом соединении. Обычно, только подмножество из них фактически включено по умолчанию, так как этот список может включать наборы шифрования, которые не соответствуют требованиям качества обслуживания для этих значений по умолчанию. Такие наборы шифрования могут быть полезны в специализированных приложениях.

Возвращает:

массив имён наборов шифрования

См. также:

getEnabledCipherSuites(), setEnabledCipherSuites(String [])

getEnabledCipherSuites

public abstract String[] getEnabledCipherSuites()

Возвращает:

массив имён наборов шифрования

См. также:

getSupportedCipherSuites(), setEnabledCipherSuites(String [])

setEnabledCipherSuites

public abstract void setEnabledCipherSuites(String[] suites)

Параметры:

suites - Имена всех наборов шифрования для включения

Исключения:

IllegalArgumentException - когда один или несколько шифров, указанных в параметре, не поддерживаются или когда параметр null.

См. также:

getSupportedCipherSuites(), getEnabledCipherSuites()

getSupportedProtocols

public abstract String[] getSupportedProtocols()

Возвращает имена протоколов, которые могут быть включены для использования в SSL-соединении.

Возвращает:

массив поддерживаемых протоколов

getEnabledProtocols

public abstract String[] getEnabledProtocols()

Возвращает имена версий протокола, которые в настоящее время включены для использования в этом соединении.

Возвращает:

массив протоколов

См. также:

setEnabledProtocols(String [])

setEnabledProtocols

public abstract void setEnabledProtocols(String[] protocols)

Параметры:

protocols - Имена всех протоколов для включения

Исключения:

IllegalArgumentException - если один или несколько протоколов, указанных в параметре, не поддерживаются, или если параметр protocols равен null.

См. также:

getEnabledProtocols()

getSession

public abstract SSLSession getSession()

Возвращает:

SSLSession

getHandshakeSession

public SSLSession getHandshakeSession()

Возвращает:

null, если этот экземпляр не участвует в рукопожатии в данный момент или если текущее рукопожатие не продвинулось достаточно далеко, чтобы создать базовый SSLSession. В противном случае этот метод возвращает SSLSession , которое в данный момент согласовывается.

Исключение:

UnsupportedOperationException - если базовый поставщик не реализует операцию.

С:

1.7

См. также:

SSLEngine, SSLSession, ExtendedSSLSession, X509ExtendedKeyManager, X509ExtendedTrustManager

addHandshakeCompletedListener

public abstract void addHandshakeCompletedListener(HandshakeCompletedListener listener)

Регистрирует обработчик событий для получения уведомлений о завершении рукопожатия SSL по этому соединению.

Параметры:

listener - обработчик событий завершения рукопожатия

Исключение:

IllegalArgumentException - если аргумент равен null.

См. также:

startHandshake(), removeHandshakeCompletedListener(HandshakeCompletedListener)

removeHandshakeCompletedListener

public abstract void removeHandshakeCompletedListener(HandshakeCompletedListener listener)

Удаляет ранее зарегистрированного обработчика завершения рукопожатия.

Параметры:

listener - обработчик событий завершения рукопожатия

Исключение:

IllegalArgumentException - если обработчик не зарегистрирован или аргумент равен null.

См. также:

addHandshakeCompletedListener(HandshakeCompletedListener)

startHandshake

public abstract void startHandshake()
                             throws IOException

Исключение:

IOException - при сетевой ошибке

См. также:

addHandshakeCompletedListener(HandshakeCompletedListener)

setUseClientMode

public abstract void setUseClientMode(boolean mode)

Параметры:

mode - true, если сокет должен начать рукопожатие в режиме "клиент"

Исключение:

IllegalArgumentException - если попытка изменения режима осуществляется после начала начального рукопожатия.

См. также:

getUseClientMode()

getUseClientMode

public abstract boolean getUseClientMode()

Возвращает true, если сокет настроен на использование режима клиента во время рукопожатия.

Возвращает:

true, если сокет должен выполнить рукопожатие в режиме "клиент"

См. также:

setUseClientMode(boolean)

setNeedClientAuth

public abstract void setNeedClientAuth(boolean need)

Параметры:

need - устанавливается в true, если аутентификация клиента требуется, или в false, если аутентификация клиента не требуется.

См. также:

getNeedClientAuth(), setWantClientAuth(boolean), getWantClientAuth(), setUseClientMode(boolean)

getNeedClientAuth

public abstract boolean getNeedClientAuth()

Возвращает true, если для сокета требуется аутентификация клиента. Этот параметр полезен только для сокетов в режиме сервера.

Возвращает:

true, если аутентификация клиента обязательна, или false, если аутентификация клиента не требуется.

См. также:

setNeedClientAuth(boolean), setWantClientAuth(boolean), getWantClientAuth(), setUseClientMode(boolean)

setWantClientAuth

public abstract void setWantClientAuth(boolean want)

Параметры:

want - устанавливается в true, если аутентификация клиента запрошена, или в false, если аутентификация клиента не требуется.

См. также:

getWantClientAuth(), setNeedClientAuth(boolean), getNeedClientAuth(), setUseClientMode(boolean)

getWantClientAuth

public abstract boolean getWantClientAuth()

Возвращает true, если для сокета запрашивается аутентификация клиента. Этот параметр полезен только для сокетов в режиме сервера.

Возвращает:

true, если аутентификация клиента запрошена, или false, если аутентификация клиента не требуется.

См. также:

setNeedClientAuth(boolean), getNeedClientAuth(), setWantClientAuth(boolean), setUseClientMode(boolean)

setEnableSessionCreation

public abstract void setEnableSessionCreation(boolean flag)

Управляет тем, могут ли по этому сокету создаваться новые сессии SSL. Если создание сессий запрещено и нет существующих сессий для возобновления, рукопожатие не будет успешно выполнено.

Параметры:

flag - true означает, что сессии могут быть созданы; это значение по умолчанию. false означает, что должна быть возобновлена существующая сессия

См. также:

getEnableSessionCreation()

getEnableSessionCreation

public abstract boolean getEnableSessionCreation()

Возвращает true, если по этому сокету могут быть созданы новые сессии SSL.

Возвращает:

true означает, что сессии могут быть созданы; это значение по умолчанию. false означает, что должна быть возобновлена существующая сессия

См. также:

setEnableSessionCreation(boolean)

getSSLParameters

public SSLParameters getSSLParameters()

Возвращает SSLParameters, действующие для этого SSLSocket. Наборы шифрования и протоколы возвращаемых SSLParameters всегда не равны null.

Возвращает:

SSLParameters, действующие для этого SSLSocket.

С:

1.6

setSSLParameters

public void setSSLParameters(SSLParameters params)

Параметры:

params - параметры

Исключение:

IllegalArgumentException - если вызов setEnabledCipherSuites() или setEnabledProtocols() завершится ошибкой

С:

1.6

getApplicationProtocol

public String getApplicationProtocol()

Требования к реализации:

Реализация в этом классе выбрасывает UnsupportedOperationException и не выполняет никаких других действий.

Возвращает:

null, если еще не определено, могут ли быть использованы протоколы приложений для этого соединения; пустую String , если значения протоколов приложений не будут использоваться; или непустой протокол приложения String , если значение было успешно согласовано.

Выбрасывает:

UnsupportedOperationException — если базовый поставщик не реализует операцию.

С:

8

getHandshakeApplicationProtocol

public String getHandshakeApplicationProtocol()

Требования к реализации:

Реализация в этом классе выбрасывает UnsupportedOperationException и не выполняет никаких других действий.

Возвращает:

null, если ещё не определено, могут ли быть использованы протоколы приложений для этого рукопожатия; пустую String , если значения протоколов приложений не будут использоваться; или непустой протокол приложения String , если значение было успешно согласовано.

Выбрасывает:

UnsupportedOperationException — если базовый поставщик не реализует операцию.

С:

8

setHandshakeApplicationProtocolSelector

public void setHandshakeApplicationProtocolSelector(BiFunction<SSLSocket,List<String>,String> selector)

Регистрирует функцию обратного вызова, которая выбирает значение протокола приложения для рукопожатия SSL/TLS/DTLS. Функция переопределяет любые значения, предоставленные с помощью SSLParameters.setApplicationProtocols, и она поддерживает следующие типы параметров:

SSLSocket

Первый аргумент функции позволяет просмотреть текущие SSLSocket, включая сеанс рукопожатия и параметры конфигурации.

List<String>

Второй аргумент функции содержит список имен протоколов приложений, объявленных узлом TLS.

String

Результатом функции является имя протокола приложения или null, чтобы указать, что ни одно из объявленных имен не подходит. Если возвращаемое значение пустая String , то указания протоколов приложений не будут использоваться. Если возвращаемое значение null (значение не выбрано) или является значением, которое не было объявлено узлом, базовый протокол определит, какое действие выполнить. (Например, ALPN отправит предупреждение "no_application_protocol" и прервёт соединение.)

Например, следующий вызов регистрирует функцию обратного вызова, которая анализирует параметры рукопожатия TLS и выбирает имя протокола приложения:

serverSocket.setHandshakeApplicationProtocolSelector(
         (serverSocket, clientProtocols) -> {
             SSLSession session = serverSocket.getHandshakeSession();
             return chooseApplicationProtocol(
                 serverSocket,
                 clientProtocols,
                 session.getProtocol(),
                 session.getCipherSuite());
         });

Примечание API:

Этот метод должен вызываться приложениями-серверами TLS перед началом рукопожатия TLS. Кроме того, эта SSLSocket должна быть настроена с параметрами, совместимыми с протоколом приложения, выбранным функцией обратного вызова. Например, неправильный выбор наборов шифров может привести к отсутствию подходящего протокола приложения. См. SSLParameters.

Требования к реализации:

Реализация в этом классе выбрасывает UnsupportedOperationException и не выполняет никаких других действий.

Параметры:

selector — функция обратного вызова или null для отмены регистрации.

Выбрасывает:

UnsupportedOperationException — если базовый поставщик не реализует операцию.

С:

8

getHandshakeApplicationProtocolSelector

public BiFunction<SSLSocket,List<String>,String> getHandshakeApplicationProtocolSelector()

Возвращает функцию обратного вызова, которая выбирает значение протокола приложения во время рукопожатия SSL/TLS/DTLS. См. setHandshakeApplicationProtocolSelector для параметров типа функции.

Требования к реализации:

Реализация в этом классе выбрасывает UnsupportedOperationException и не выполняет никаких других действий.

Возвращает:

функцию обратного вызова или null, если она не задана.

Выбрасывает:

UnsupportedOperationException — если базовый поставщик не реализует операцию.

С:

8