<div dir="ltr"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">The future of HTTP is my concern here<br clear="all"></blockquote><div><br></div><div>I get that, but my current client requirements is my concern here :)  Let's not throw the baby out with the bathwater because of what may come.  If there is a post-handshake client verification that works via TLSv1.3 over HTTP/1, let's not prevent people from using that today (taking into account Browser support, of course).  Once the HTTP/2 spec has been ironed out (which I know can take years) then java can cross that bridge when it comes to it.</div><div> </div><div><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div></div><div>Thanks!</div><div><br></div><div>~Brad</div><div><br></div><div><b>Developer Advocate</b></div><div><i>Ortus Solutions, Corp </i></div><div><b><br></b></div><div>E-mail: <a href="mailto:brad@coldbox.org" target="_blank">brad@coldbox.org</a></div><div>ColdBox Platform: <a href="http://www.coldbox.org" target="_blank">http://www.coldbox.org</a> </div><div>Blog: <a href="http://www.codersrevolution.com" target="_blank">http://www.codersrevolution.com</a></div><div><br></div></div></div></div></div></div><br></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Aug 10, 2022 at 9:36 AM Xuelei Fan <<a href="mailto:xuelei.f@gmail.com">xuelei.f@gmail.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div style="overflow-wrap: break-word;"><br><div><br><blockquote type="cite"><div>On Aug 10, 2022, at 6:49 AM, Brad Wood <<a href="mailto:bdw429s@gmail.com" target="_blank">bdw429s@gmail.com</a>> wrote:</div><br><div><div dir="ltr">Honestly, what does HTTP/2 have to do with the ticket in question?</div></div></blockquote><div><br></div><div>The future of HTTP is my concern here.  Thank you for sharing the link (draft RFC) bellow.</div><div><br></div><div>Xuelei</div><div><br></div><div><br></div><br><blockquote type="cite"><div><div dir="ltr">  TLS 1.3 supports a post-handshake method of requesting client certs without renegotiating the entire SSL handshake.  Java needs to support this.  <div><br></div><div>From my research, any other web server such as Nginx simply requires that HTTP/1 be used when this feature is needed.  I suggest we do the same.  If you are concerned about the future of HTP/2, I would direct you to some proposed updates to the HTTP/2 which will accommodate post handshake client cert requests: <a href="https://datatracker.ietf.org/doc/html/draft-ietf-httpbis-http2-secondary-certs" target="_blank">https://datatracker.ietf.org/doc/html/draft-ietf-httpbis-http2-secondary-certs</a>  In the mean time, I have no issues using HTTP/1 for the specific apps that require this.  </div><div><br clear="all"><div><div dir="ltr"><div dir="ltr"><div><div dir="ltr"><div></div><div>Thanks!</div><div><br></div><div>~Brad</div><div><br></div><div><b>Developer Advocate</b></div><div><i>Ortus Solutions, Corp </i></div><div><b><br></b></div><div>E-mail: <a href="mailto:brad@coldbox.org" target="_blank">brad@coldbox.org</a></div><div>ColdBox Platform: <a href="http://www.coldbox.org/" target="_blank">http://www.coldbox.org</a> </div><div>Blog: <a href="http://www.codersrevolution.com/" target="_blank">http://www.codersrevolution.com</a></div><div><br></div></div></div></div></div></div><br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Tue, Aug 9, 2022 at 9:05 PM Xuelei Fan <<a href="mailto:xuelei.f@gmail.com" target="_blank">xuelei.f@gmail.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div>If we have a look from the viewpoint of HTTP/2, how applications could meet the requirements in HTTP/2?  Did you have a plan to have the application works with HTTP/2 in the future?  <div><br></div><div>Xuelei<br><div><br><blockquote type="cite"><div>On Aug 9, 2022, at 12:29 PM, Brad Wood <<a href="mailto:bdw429s@gmail.com" target="_blank">bdw429s@gmail.com</a>> wrote:</div><br><div><div dir="ltr">I have some questions about this ticket<div><a href="https://bugs.openjdk.org/browse/JDK-8206923" target="_blank">https://bugs.openjdk.org/browse/JDK-8206923</a></div><div>which was closed as "won't fix".  I fully realize that TLS 1.3 forbids SSL renegotiation after the handshake in the traditional manner, but I'm curious if the process defined here can be used instead:</div><div><a href="https://www.openssl.org/docs/manmaster/man3/SSL_verify_client_post_handshake.html" target="_blank">https://www.openssl.org/docs/manmaster/man3/SSL_verify_client_post_handshake.html<br clear="all"></a><div><div dir="ltr"><div dir="ltr"><div dir="ltr"><div></div><div><br></div><div>I'm new to this, but it appears to be describing how to accomplish post-handshake client verification which works on TLS 1.3.  </div><div><br></div><div>There's not a lot of information online, but this ticket appears to be Python adding support for this:</div><div><a href="https://bugs.python.org/issue34670" target="_blank">https://bugs.python.org/issue34670</a><br></div><div><br></div><div>Can we discuss reopening the openjdk ticket if this is actually possible?  The use case for this is a rather common requirement-- to have an SSL site which doesn't prompt the user for a client cert until they visit a secured area, and then the client cert request is sent, prompting the user at that point.  </div><div>Currently, I have to disable both HTTP/2 and TLS 1.3 in order for this to work.  I don't mind sticking to HTTP/1. but I have concerns about disabling TLSv1.3 and what that means for the future security of my apps.</div><div><br></div><div>Thanks!</div><div><br></div><div>~Brad</div><div><br></div><div><b>Developer Advocate</b></div><div><i>Ortus Solutions, Corp </i></div><div><b><br></b></div><div>E-mail: <a href="mailto:brad@coldbox.org" target="_blank">brad@coldbox.org</a></div><div>ColdBox Platform: <a href="http://www.coldbox.org/" target="_blank">http://www.coldbox.org</a> </div><div>Blog: <a href="http://www.codersrevolution.com/" target="_blank">http://www.codersrevolution.com</a></div><div><br></div></div></div></div></div></div></div>
</div></blockquote></div><br></div></div></blockquote></div>
</div></blockquote></div><br></div></blockquote></div>