如何使用相同的TLS会话连接到具有数据连接的FTPS服务器？

3 回答

• 2

  实际上，一些FTP（S）服务器确实需要将TLS / SSL会话重用于数据连接 . 这是一种安全措施，服务器可以通过该安全措施验证数据连接是否由与控制连接相同的客户端使用 .

  常见FTP服务器的一些参考：

  • vsftpd：https://scarybeastsecurity.blogspot.com/2009/02/vsftpd-210-released.html

  • FileZilla服务器：https://svn.filezilla-project.org/filezilla?view=revision&revision=6661

  • ProFTPD：http://www.proftpd.org/docs/contrib/mod_tls.html#TLSOptions（ NoSessionReuseRequired 指令）

  ---

  可以帮助您实现的是Cyberduck FTP（S）客户端确实支持TLS / SSL会话重用，它使用Apache Commons Net库：

  • https://trac.cyberduck.io/ticket/5087 - 在数据连接上重用Session键

  • 请参阅其FTPClient.java代码（扩展Commons Net FTPSClient ），特别是其override of prepareDataSocket method：

  @Override
  protected void _prepareDataSocket_(final Socket socket) throws IOException {
      if(preferences.getBoolean("ftp.tls.session.requirereuse")) {
          if(socket instanceof SSLSocket) {
              // Control socket is SSL
              final SSLSession session = ((SSLSocket) _socket_).getSession();
              if(session.isValid()) {
                  final SSLSessionContext context = session.getSessionContext();
                  context.setSessionCacheSize(preferences.getInteger("ftp.ssl.session.cache.size"));
                  try {
                      final Field sessionHostPortCache = context.getClass().getDeclaredField("sessionHostPortCache");
                      sessionHostPortCache.setAccessible(true);
                      final Object cache = sessionHostPortCache.get(context);
                      final Method method = cache.getClass().getDeclaredMethod("put", Object.class, Object.class);
                      method.setAccessible(true);
                      method.invoke(cache, String.format("%s:%s", socket.getInetAddress().getHostName(),
                              String.valueOf(socket.getPort())).toLowerCase(Locale.ROOT), session);
                      method.invoke(cache, String.format("%s:%s", socket.getInetAddress().getHostAddress(),
                              String.valueOf(socket.getPort())).toLowerCase(Locale.ROOT), session);
                  }
                  catch(NoSuchFieldException e) {
                      // Not running in expected JRE
                      log.warn("No field sessionHostPortCache in SSLSessionContext", e);
                  }
                  catch(Exception e) {
                      // Not running in expected JRE
                      log.warn(e.getMessage());
                  }
              }
              else {
                  log.warn(String.format("SSL session %s for socket %s is not rejoinable", session, socket));
              }
          }
      }
  }
  

  • 似乎 _prepareDataSocket_ 方法被添加到Commons Net FTPSClient ，专门用于允许TLS / SSL会话重用实现：
    https://issues.apache.org/jira/browse/NET-426

  仍然有待对重用的本机支持：
  https://issues.apache.org/jira/browse/NET-408

  • 显然需要覆盖Spring Integration DefaultFtpsSessionFactory.createClientInstance() 以使用会话重用支持返回自定义 FTPSClient 实现 .

  ---

  自JDK 8u161以来，上述解决方案不再适用 .

  根据JDK 8u161 Update Release Notes（以及answer by @Laurent）：

  添加了TLS会话哈希和扩展主密钥扩展支持...如果出现兼容性问题，应用程序可能会通过将系统属性jdk.tls.useExtendedMasterSecret设置为false来禁用此扩展的协商在JDK中

  即，你可以调用它来解决问题：

  System.setProperty("jdk.tls.useExtendedMasterSecret", "false");
  

  虽然这应该只是一种解决方法 . 我不知道一个合适的解决方案 .

  回复于 2024-05-14T10:04:34+08:00
• 4

  您可以使用此SSLSessionReuseFTPSClient类：

  import java.io.IOException;
  import java.lang.reflect.Field;
  import java.lang.reflect.Method;
  import java.net.Socket;
  import java.util.Locale;
  
  import javax.net.ssl.SSLSession;
  import javax.net.ssl.SSLSessionContext;
  import javax.net.ssl.SSLSocket;
  
  import org.apache.commons.net.ftp.FTPSClient;
  
  public class SSLSessionReuseFTPSClient extends FTPSClient {
  
      // adapted from:
      // https://trac.cyberduck.io/browser/trunk/ftp/src/main/java/ch/cyberduck/core/ftp/FTPClient.java
      @Override
      protected void _prepareDataSocket_(final Socket socket) throws IOException {
          if (socket instanceof SSLSocket) {
              // Control socket is SSL
              final SSLSession session = ((SSLSocket) _socket_).getSession();
              if (session.isValid()) {
                  final SSLSessionContext context = session.getSessionContext();
                  try {
                      final Field sessionHostPortCache = context.getClass().getDeclaredField("sessionHostPortCache");
                      sessionHostPortCache.setAccessible(true);
                      final Object cache = sessionHostPortCache.get(context);
                      final Method method = cache.getClass().getDeclaredMethod("put", Object.class, Object.class);
                      method.setAccessible(true);
                      method.invoke(cache, String
                              .format("%s:%s", socket.getInetAddress().getHostName(), String.valueOf(socket.getPort()))
                              .toLowerCase(Locale.ROOT), session);
                      method.invoke(cache, String
                              .format("%s:%s", socket.getInetAddress().getHostAddress(), String.valueOf(socket.getPort()))
                              .toLowerCase(Locale.ROOT), session);
                  } catch (NoSuchFieldException e) {
                      throw new IOException(e);
                  } catch (Exception e) {
                      throw new IOException(e);
                  }
              } else {
                  throw new IOException("Invalid SSL Session");
              }
          }
      }
  }
  

  并使用openJDK 1.8.0_161：

  我们必须设定：

  System.setProperty("jdk.tls.useExtendedMasterSecret", "false");
  

  根据http://www.oracle.com/technetwork/java/javase/8u161-relnotes-4021379.html

  添加了TLS会话哈希和扩展主密钥扩展支持

  如果出现兼容性问题，应用程序可能会通过在JDK中将系统属性jdk.tls.useExtendedMasterSecret设置为false来禁用此扩展的协商

  回复于 2024-05-14T10:04:34+08:00
• 16

  为了让Martin Prikryl的建议对我有用，我不仅要将密钥存储在 socket.getInetAddress().getHostName() 下，还要存放在 socket.getInetAddress().getHostAddress() 下 . （解决方案从here被盗 . ）

  回复于 2024-05-14T10:04:34+08:00