安全性的 SSL 错误

• 请参阅您 HTTP Server 的文档，以了解有关正确启用 SSL 的指示信息。 如果您使用的是 IBM HTTP Server 或 Apache, 请访问： http://www.ibm.com/software/webservers/httpservers/library.html. 单击常见问题 > SSL。
• 如果使用 IBM Key Management (IKeyman) 工具来创建证书和密钥，请记住在使用 IBM Key Management Tool 创建密钥数据库 (KDB) 文件时将密码隐藏到文件中。
  1. 转至创建 KDB 文件的目录，并查看.sth文件存在。
  2. 如果没有，请使用 IBM Key Management Tool 打开 KDB 文件，然后单击 密钥数据库文件> 隐藏密码。 显示以下消息：The password has been encrypted and saved in the file.

• javax.net.ssl.SSLHandshakeException - The client and server could not negotiate the desired level of security. Reason: handshake failure
• javax.net.ssl.SSLHandshakeException - The client and server could not negotiate the desired level of security. Reason: unknown certificate
• javax.net.ssl.SSLHandshakeException - The client and server could not negotiate the desired level of security. Reason: bad certificate

[Root exception is org.omg.CORBA.TRANSIENT:  CAUGHT_EXCEPTION_WHILE_CONFIGURING_
SSL_CLIENT_SOCKET: CWWJE0080E:   javax.net.ssl.SSLHandshakeException - The client
and server could not negotiate the desired level of   security. Reason: handshake 
failure:host=MYSERVER,port=1079 minor code: 4942F303 completed: No]   at 
com.ibm.CORBA.transport.TransportConnectionBase.connect 
(TransportConnectionBase.java:NNN)

• 在客户机和服务器之间没有公共密码。
• 未指定正确的协议。

1. 复审 SSL 设置。 在管理控制台中，单击安全性 > SSL 证书和密钥管理。 在“配置设置”下，单击管理端点安全性配置 > endpoint_configuration_name。 在“相关项”下，单击 SSL 配置 > SSL_configuration_name。 您还可以通过查看 install_root 来手动浏览文件/properties/sas.client.props中。
2. 请检查由以下对象指定的属性:com.ibm.ssl.protocol文件以确定指定的协议。
3. 检查 com.ibm.ssl.enabledCipherSuites 接口指定的密码类型。 您可能要将更多的密码类型添加到列表中。 要查看当前启用了哪些密码套件，单击保护质量设置 (QoP)，然后查找密码套件属性。
4. 通过使用不同的客户机或服务器协议和密码选择，更正协议或密码问题。 典型协议是 SSL 或 SSLv3。

ERROR: Could not get the initial context or unable to look up the starting context. 
Exiting.  Exception received: javax.naming.ServiceUnavailableException: A 
communication failure occurred while attempting to obtain an initial context using 
the provider url: "corbaloc:iiop:localhost:2809". Make sure that the host and port 
information is correct and that the server identified by the provider url is a 
running name server. If no port number is specified, the default port number 2809 
is used. Other possible causes include the network environment or workstation 
network configuration. [Root exception is org.omg.CORBA.TRANSIENT: 
CAUGHT_EXCEPTION_WHILE_CONFIGURING_SSL_CLIENT_SOCKET: CWWJE0080E: 
javax.net.ssl.SSLHandshakeException - The client and server could not 
negotiate the desired level of security. Reason: unknown 
certificate:host=MYSERVER,port=1940 minor code: 4942F303 completed: No]

1. 检查客户机信任库文件以确定是否存在来自服务器个人证书的签署者证书。 对于自签署服务器个人证书，签署者证书是个人证书的公用密钥。 对于认证中心 (CA) 签署的服务器个人证书，签署者证书是签署个人证书的 CA 的根 CA 证书。
2. 将服务器签署者证书添加到客户机信任库文件。

• 用于 SSL 相互认证的客户机密钥库中存在个人证书。
• 未将签署者证书抽取到服务器信任库文件中，因此，进行 SSL 握手时，服务器不能信任该证书。

ERROR: Could not get the initial context or unable to look 
up the starting context. Exiting.  
Exception received: javax.naming.ServiceUnavailableException: 
A communication failure occurred while attempting to obtain an 
initial context using the provider url: "corbaloc:iiop:localhost:2809". 
Make sure that the host and port information is correct and that the
server identified by the provider url is a running name 
server. If no port number is specified, the default port number 2809 
is used. Other possible causes include the network environment or 
workstation network configuration. 
[Root exception is org.omg.CORBA.TRANSIENT: CAUGHT_EXCEPTION_WHILE_CONFIGURING_SSL_
CLIENT_SOCKET: CWWJE0080E: javax.net.ssl.SSLHandshakeException - The client and 
server could not negotiate the desired level of security. Reason: 
bad certificate: host=MYSERVER,port=1940 minor code: 4942F303 completed: No]

CWPKI0062E: SSL HANDSHAKE FAILURE:  Host name verification error while connecting to host [MYHOST1.com].  The host name used to access the server does not match the server certificate's [Subject Alternative Name [dnsName:MYHOST2.com]].  The extended error message from the SSL handshake exception is: [No subject alternative DNS name matching MYHOST1.com found.].

Program exiting with error:
com.ibm.websphere.management.exception.ConnectorException:
ADMC0016E: The system cannot create a SOAP connector to connect to
host MYHOST.com at port 8888., resulting from:
[SOAPException: faultCode=SOAP-ENV:Client; msg=Error opening socket:
java.io.IOException: Exception during sslSocket.startHandshake:
java.security.cert.CertificateException: No subject alternative DNS
name matching MYHOST.com.;
targetException=java.lang.IllegalArgumentException: Error opening
socket: java.io.IOException: Exception during
sslSocket.startHandshake: java.security.cert.CertificateException:
No subject alternative DNS name matching MYHOST.com
found.]

主机名不匹配

客户端 URL 中指定的主机名与服务器 SSL 证书中的通用名 (CN) 或主题备选名 (SAN) 不匹配。

SSL 配置不正确

服务器上的 SSL 配置可能使用了不包含正确主机名的证书。

客户端配置错误

客户端可能配置了错误的 URL 或使用了过时的主机名。

• 验证主机名或 IP 地址。

  检查 URL 中的主机名或 IP 地址是否与服务器 SSL 证书中的 SAN 或 CN 匹配。 如果 URL 不正确，请使用正确的主机名进行更新。

• 查看 SSL 配置。

  确保服务器 SSL 证书配置正确。 SSL 证书必须包含客户端连接的主机名的 SAN 或 CN。

• 重新生成WebSphere® Application Server签发的证书。
  较新的WebSphere Application Server证书具有更好的 SAN 支持。 运行以下 "wsadmin命令即可重新生成证书：

  wsadmin>AdminTask.genAndReplaceCertificates('[-keyStoreName CellDefaultKeyStore -certificateAlias default -extendedKeyUsage ServerAuth_Id,ClientAuth_Id -sanDNSName MYHOST1.com,MYHOST1,MYHOST2.com -sanIPAddress 10.10.1.1,10.10.1.2 -keyStoreScope (cell):MYCell]')
  wsadmin>AdminConfig.save()

• 如果不影响环境的安全性，可以跳过特定主机名、IP 地址或两者的主机名验证。

  将 com.ibm.ssl.skipHostnameVerificationForHosts 属性设置为要跳过验证的特定主机名、IP 地址或两者。 用逗号分隔多个条目。

• 将 com.ibm.ssl.verifyHostname 属性设置为 false，即可在不需要进行安全检查时（如在非生产环境中）暂时禁用主机名验证。
  随后会显示以下信息：

  CWPKI0063W: Hostname verification is disabled for [MYSSLConfig]. TLS/SSL connections do not check server identities to verify that the client is communicating with the correct server.

  避免麻烦： 避免在生产环境中禁用主机名验证，因为这会影响安全性。