如何使用SSLEngine验证x509 SSL / TLS握手后的服务器（对等）名称？

Question

我正在将SSLEngine与NIO用于非阻塞TLS通信。

引擎工作正常，并且能够验证CA信任（服务器证书的有效期）。

但是我所缺少的是验证证书主题名称是否与我要连接的服务器名称匹配。

考虑到所有SSL扩展（例如使用者替代名称等），实现它的最佳方法是什么？

我尝试仅检查主题名称，但是即使使用google.nl也google.nl ，证书中的主题是google.com ，而google.nl仅在备用名称扩展名中找到。

Answer 1

再次回答我自己的问题...

到目前为止，我能够做到这一点。 它仅限于Sun JSSE实施。 不知道这是否是完整的解决方案。

void checkServerName(String serverName, SSLSession session) throws IOException {
    String name;
    boolean matches = false;
    X509CertImpl cert = (X509CertImpl)session.getPeerCertificates()[0];
    SubjectAlternativeNameExtension altNames = cert.getSubjectAlternativeNameExtension();
    if (altNames != null) {
        GeneralNames names = (GeneralNames) altNames.get(SubjectAlternativeNameExtension.SUBJECT_NAME);
        for (GeneralName genName : names.names()) {
            switch (genName.getType()) {
                case GeneralNameInterface.NAME_DNS:
                    name = ((DNSName)genName.getName()).getName();
                    break;
                case GeneralNameInterface.NAME_IP:
                    name = ((IPAddressName)genName.getName()).getName();
                    break;
                case GeneralNameInterface.NAME_RFC822:
                    name = ((RFC822Name)genName.getName()).getName();
                    break;
                case GeneralNameInterface.NAME_ANY:
                    DerValue derValue = new DerValue(((OtherName)genName.getName()).getNameValue()); 
                    name = derValue.getData().getUTF8String();
                    break;
                default:
                    continue;
            }
            if (name.startsWith("*"))
                matches |= serverName.endsWith(name.substring(1).toLowerCase());
            else
                matches |= serverName.equals(name.toLowerCase());
            if (matches)
                break;
        }
    }
    name = ((X500Name)cert.getSubjectDN()).getCommonName();
    if (!matches)
        matches = serverName.equals(name.toLowerCase());
    if (!matches)
        throw new SSLPeerUnverifiedException("server name mismatch, certificate issued to: " + name);
}