启用Java SSL调试日志

Kahen大约 4 分钟

启用Java SSL调试日志

Java安全套接字层（SSL）调试对于开发者和管理员来说至关重要，它有助于诊断和解决应用程序中与建立安全连接相关的问题。启用SSL调试可以提供关于握手过程、密码套件协商以及其他安全相关活动的洞察。

在本教程中，我们将通过一系列实践示例探索启用Java SSL调试的各种方法。

SSL/TLS协议是保护互联网上数据传输的基础。

在应用程序中使用这些协议时，我们可以使用SSL调试来增强我们系统中SSL保护通信的安全性和效率。它可以帮助我们的方式包括：

识别异常，如证书不匹配和连接失败
监控恶意活动
确保我们使用适当的加密算法实现
优化性能

输出片段可能如下所示：

%% 初始化：[Session-1, SSL_RSA_WITH_AES_256_CBC_SHA]
密码套件：SSL_RSA_WITH_AES_256_CBC_SHA
ServerKeyExchange：EC Diffie-Hellman 服务器参数：[...]
*** ServerHelloDone
证书链长度：1
*** 证书链
[...]
应用程序数据："Hello, World!"

在这个例子中，输出从会话初始化开始，然后是所选密码套件的详细信息、密钥交换参数和握手的完成。它还包括有关证书链和安全传输的应用程序数据的信息。

3. 使用命令行选项

通过命令行选项启用SSL调试是一种直接的方法。Java允许我们通过_javax.net.debug_系统属性进行配置。这个属性接受各种调试选项，允许用户自定义调试输出的详细程度：

java -Djavax.net.debug=ssl -jar MyApp.jar

此命令激活了所有SSL相关活动的调试。对于更详细的调试，一些其他有用的选项包括：

handshake 用于SSL握手期间的详细信息
keygen 用于密钥生成的详细信息
record 用于记录层处理的信息

官方文档中提供了完整的选项列表。

让我们使用_handshake_选项生成与握手过程相关的SSL日志：

java -Djavax.net.debug=ssl:handshake -jar MyApp.jar

执行上述命令后，输出将包含握手的详细信息。这在排除客户端和服务器之间建立SSL/TLS连接的初始阶段的问题时非常有用。以下是日志片段：

Allow unsafe renegotiation: false
Allow legacy hello messages: true
Is initial handshake: true
Is secure renegotiation: false
...
main, READ: TLSv1.2 Handshake, length = 232
...
*** ClientHello, TLSv1.2
...

输出包括有关协商过程、使用的协议版本（在本例中为TLSv1.2）以及客户端和服务器之间交换的初始握手消息的详细信息。

4. 使用系统属性

在某些情况下，我们可能希望在运行时动态启用SSL调试日志。我们可以通过以编程方式更改_javax.net.debug_系统属性的值来实现这一点：

static void enableSSLDebugUsingSystemProperties() {
    System.setProperty("javax.net.debug", "ssl");
}

让我们尝试发起一个虚拟的HTTPS请求以检索日志：

static void makeHttpsRequest() throws Exception {
    String url = "https://github.com/eugenp/tutorials";
    URL httpsUrl = new URL(url);
    HttpsURLConnection connection = (HttpsURLConnection) httpsUrl.openConnection();

    try (BufferedReader reader = new BufferedReader(new InputStreamReader(connection.getInputStream()))) {
        String line;
        logger.info("Response from " + url + ":");
        while ((line = reader.readLine()) != null) {
            logger.info(line);
        }
    }
}

这种方法允许我们根据应用程序中的特定事件或条件开启或关闭日志记录：

@Test
void givenSSLDebuggingEnabled_whenUsingSystemProperties_thenEnableSSLDebugLogging() {
    ByteArrayOutputStream outContent = new ByteArrayOutputStream();
    System.setErr(new PrintStream(outContent));

    SSLDebugLogger.enableSSLDebugUsingSystemProperties();
    assertEquals("ssl", System.getProperty("javax.net.debug"));

    SSLDebugLogger.makeHttpsRequest();
    assertTrue(outContent.toString().contains("javax.net.ssl|DEBUG|"));

    outContent.reset();

    System.clearProperty("javax.net.debug");
    assertNull(System.getProperty("javax.net.debug"));

    SSLDebugLogger.makeHttpsRequest();
    assertEquals(outContent.toString(),"");
}

使用系统属性启用SSL调试提供了一个快速设置，不需要任何配置文件，并允许即时调试。

5. 使用日志配置文件

我们还可以通过创建_logging.properties_文件并将其放置在类路径中来配置Java日志记录以捕获SSL调试信息。

让我们向_logging.properties_文件添加以下行以启用日志记录：

java.util.logging.ConsoleHandler.level=ALL
java.net.ssl.handlers=java.util.logging.ConsoleHandler
javax.net.ssl.level=ALL

这些属性告诉控制台处理器捕获所有级别的消息。

让我们用一个单元测试来测试新的行为：

@Test
void givenSSLDebuggingEnabled_whenUsingConfigurationFile_thenEnableSSLDebugLogging() throws IOException {
    InputStream configFile = SSLDebugLoggerUnitTest.class.getClassLoader().getResourceAsStream("logging.properties");
    LogManager.getLogManager().readConfiguration(configFile);

    Logger sslLogger = Logger.getLogger("javax.net.ssl");
    ConsoleHandler consoleHandler = (ConsoleHandler) sslLogger.getHandlers()[0];
    Level consoleHandlerLevel = consoleHandler.getLevel();

    assertEquals(Level.ALL, consoleHandlerLevel, "SSL ConsoleHandler level should be ALL");
}

这种方法提供了对SSL调试设置的细粒度控制，但任何更改通常需要重新启动应用程序。

6. 结论

在本文中，我们看到了在Java中启用SSL调试日志的各种方法，这些方法可以用来深入了解握手过程、证书验证和安全通信的其他方面。这有助于预防和解决与安全相关的问题。

如常，完整的源代码可在GitHub上获得。