在没有加密的Java中使用HTTPS

Question

我们正在寻找一种允许我们在不加密的情况下使用HTTPS的解决方案.为什么？这是故事:

我们的产品(安装在客户处)连接到我们的服务器以获取更新,发布信息等.我们希望产品在发布数据之前验证它是否已连接到服务器(而不是冒名顶替者).我们还需要确保没有中间人攻击(即内容应该签名等).但是,我们的客户要求他们可以嗅探流量(Wireshark,tcpdump等)并查看整个交易的内容.这是出于合规性和安全性原因.

顺便说一句,我们的产品是用Java编写的.

有任何想法吗？

更新: 请原谅我,如果我没有使用正确的表格来回答答案,我在这个网站上相当新.

首先,感谢您的快速解答!

我们调查HTTPS可能性的原因是因为我们不想在这里发明新的协议.这不仅仅是工作量,而且发明自己的安全协议(即使只是为了签名)通常被认为是不好的做法.我们正在努力获得HTTPS在验证服务器方面的优势(重要的是,该服务器还提供可执行代码,这些代码可能非常大 - 我们不希望任何人提供恶意软件或使用大数据来支持我们的客户,只有在收到整个服务器之后系统会发现它很糟糕,以及确保MITM不会发生(消息签名本身).我们不介意是否有人对流量有所了解,因为它从未包含被视为机密的内容.而且,它没有

@Nate Zaugg - 不,这不是开玩笑.实际上令人惊讶的是,供应商现在使用HTTPS加密,并且没有得到严格合规性问题的客户的强烈抵制.

@erickson - 使用NULL密码套装的第一个解决方案看起来很有趣,我们将对此进行研究.第二种解决方案需要为每个客户提供一组密钥 - 而不是我们想管理的东西.

@ZZ Coder - 你的意思是使用null密码,你无法在Wireshark中查看内容吗？

Answer 1

有没有加密的SSL"密码套件",所有版本的Sun JSSE提供商都支持SSL_RSA_WITH_NULL_SHA.但是,所有应用程序数据仍然包含在SSL记录中(以提供提供完整性保护的MAC等),因此当您在Wireshark中查看它时,您将看到这些结构.

或者,只要您不使用短暂的Diffie-Hellman(其中一个DHE_XXX密码套件),您就可以为Wireshark提供服务器的私钥,它将解密SSL会话.虽然这是一些额外的工作,但它并没有对服务器或客户端施加任何不寻常的要求来支持很少使用的未加密密码套件.