最近的SSL升级还引入了打破REST API的SNI

Question

我们使用ServiceNow通过REST API与PushBullet进行通信。最近，我们开始收到以下错误

javax.net.ssl.SSLHandshakeException：远程主机关闭握手

而一个500 HTTP错误时连接。

经过大量的研究似乎SNI已作为一个SSL证书升级的一部分https://en.wikipedia.org/wiki/Server_Name_Indication

的ServiceNow状态，他们不支持SNI的任何版本。

您看到的测试是来自SoapUI和Postman。

我们测试这一问题的方法是使用下面的命令：

openssl s_client -connect api.pushbullet.com:443 
(this fails) 

Adding the -servername parameter is used to pick the correct domain from the certificate that now contains multiple domains: 

openssl s_client -connect api.pushbullet.com:443 -servername api.pushbullet.com 

CONNECTED(00000003) 
depth=1 /C=US/O=GeoTrust Inc./CN=RapidSSL SHA256 CA - G2 
verify error:num=20:unable to get local issuer certificate 
verify return:0 
--- 
Certificate chain 
0 s:/CN=*.pushbullet.com 
i:/C=US/O=GeoTrust Inc./CN=RapidSSL SHA256 CA - G2 
1 s:/C=US/O=GeoTrust Inc./CN=RapidSSL SHA256 CA - G2 
i:/C=US/O=GeoTrust Inc./OU=(c) 2008 GeoTrust Inc. - For authorized use only/CN=GeoTrust Primary Certification Authority - G3 
--- 
Server certificate 
-----BEGIN CERTIFICATE----- 
MIIGbDCCBVSgAwIBAgIQTyKV1VxdJTcntEU7ErB0mjANBgkqhkiG9w0BAQsFADBH 
<snip> 

有现在访问PushBullet的API没有SNI什么办法？

加文。

Answer 1

SNI支持已被添加为雅加达发布：

https://docs.servicenow.com/bundle/jakarta-servicenow-platform/page/integrate/outbound-web-services/concept/outbound-sni-support.html

默认情况下，SNI支持在雅加达被禁用。如果它已在您的ServiceNow实例上启用，则应将glide.outbound.tls_sni.enabled属性设置为true。将其更改为false，并且您的API调用应停止使用SNI。