目前，安全和信任工作组为NHIN Direct正在讨论传统SSL所创建的IP到域名映射问题。如果一个HISP（由NHIN Direct定义）想要为提供者托管数千个NHIN Direct“健康域”，那么为每个域购买IP将会导致“人为膨胀的成本”。
由于Apache和OpenSSL最近发布了支持SNI扩展的TLS，因此可以在服务器端使用SNI解决此问题。但是，如果我们决定允许NHINDirect传输层的服务器实现支持TLS+SNI，则必须要求所有客户端也支持SNI。基于OpenSSL的客户端应默认执行此操作，如果您给定的编程语言SSL实现不支持SNI，则始终可以使用stunnel来实现TLS+SNI感知客户端进行代理。似乎使用OpenJDK的本机Java应用程序尚未支持SNI，但我无法从该项目中得到直接的答案。我知道有可用的OpenSSL Java库，但不知道是否可行。
您能否为我提供有关Java客户端TLS+SNI支持的“最新技术”摘要？我需要一个Java实现者的观点。
JavaSE 7在JSSE中支持SNI。
http://docs.oracle.com/javase/7/docs/technotes/guides/security/enhancements-7.html
注意，似乎存在一个问题，您可以在这里阅读到相关信息：您可以通过补丁方式为原始的Sun JDK (bootclasspath)添加一些代码行，以使服务器SNI功能正常运作。
类: sun.security.ssl.ServerHandshaker
添加字段
/** Use for SNI */
private ServerNameExtension serverNameExtension = null;
/* Use for SNI */
this.serverNameExtension = (ServerNameExtension)mesg.extensions.get(ExtensionType.EXT_SERVER_NAME);
设置私钥和链的Patch方法（更改）
if (this.conn != null) { alias = km.chooseServerAlias(algorithm , null, this.conn);
} else { alias = km.chooseEngineServerAlias(algorithm, null, this.engine); }
to
final Principal[] principals = (this.serverNameExtension == null) ? null : this.serverNameExtension.getHostnamePrincipals();
if (this.conn != null) { alias = km.chooseServerAlias(algorithm , principals, this.conn);
} else { alias = km.chooseEngineServerAlias(algorithm, principals, this.engine); }
添加到类sun.security.ssl.ServerNameExtension
static final class ServerNamePrincipal implements Principal {
private final String name;
ServerNamePrincipal(final String name) { this.name = name; }
@Override public String getName() { return this.name; }
@Override public String toString() { return this.name; }
}
public Principal[] getHostnamePrincipals() {
final List<Principal> principals = new LinkedList<>();
for(final ServerName name : this.names) {
if(name.type == NAME_HOST_NAME) { principals.add(new ServerNamePrincipal(name.hostname)); }
}
return principals.toArray(new Principal[principals.size()]);
}
我正在与ftrotter一起开展同一项目。
请注意需要支持数千个域名的要求。我认为SAN证书不太适合有两个原因。首先，证书的大小将会变得巨大，这可能会导致性能问题。其次，这些域名会经常出现和消失，特别是在NHIN Direct早期阶段。每次域名出现或消失都必须更新证书的操作负担将是无法接受的，在我看来。
应ftrotter的请求，我对Java、TLS和SNI以及其他实现基于名称的虚拟主机情况的方法进行了搜索。每个虚拟主机使用一个证书。以下是我的研究结果：
JSSE（Java Secure Socket Extension）支持TLS，并对TLS + SNI提供“部分支持”。我不知道在这种情况下“部分支持”是什么意思。我看到的评论表明，现有的支持不足以进行基于名称的虚拟主机，这基本上是我们所需要的。