SSL-подтверждение с использованием самоподписанных сертификатов и SSLEngine (JSSE)

Мне было поручено реализовать собственный/автономный веб-сервер Java, который может обрабатывать сообщения SSL и не-SSL на одном и том же порту.

Я реализовал сервер NIO, и он довольно хорошо работает с не-SSL-запросами. У меня чертовски много времени с частью SSL, и мне действительно может понадобиться некоторое руководство.

Вот что я сделал до сих пор.

Чтобы различать сообщения SSL и не-SSL, я проверяю первый байт входящего запроса, чтобы убедиться, что это сообщение SSL/TLS. Пример:

   byte a = read(buf);
   if (totalBytesRead==1 && (a>19 && a<25)){
       parseTLS(buf);
   }

В методе parseTLS() я создаю экземпляр SSLEngine следующим образом:

   java.security.KeyStore ks = java.security.KeyStore.getInstance("JKS");
   java.security.KeyStore ts = java.security.KeyStore.getInstance("JKS");

   ks.load(new java.io.FileInputStream(keyStoreFile), passphrase);
   ts.load(new java.io.FileInputStream(trustStoreFile), passphrase);

   KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
   kmf.init(ks, passphrase);

   TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509");
   tmf.init(ts);

   SSLContext sslc = SSLContext.getInstance("TLS");     
   sslc.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);


   SSLEngine serverEngine = sslc.createSSLEngine();
   serverEngine.setUseClientMode(false);
   serverEngine.setEnableSessionCreation(true);
   serverEngine.setWantClientAuth(true);

После создания экземпляра SSLEngine я обрабатываю входящие данные, используя методы unwrap/wrap, используя код прямо из официальных примеров JSSE. :

   log("----");

   serverResult = serverEngine.unwrap(inNetData, inAppData);
   log("server unwrap: ", serverResult);
   runDelegatedTasks(serverResult, serverEngine);

   log("----");

   serverResult = serverEngine.wrap(outAppData, outNetData);
   log("server wrap: ", serverResult);
   runDelegatedTasks(serverResult, serverEngine);

Первая часть рукопожатия работает нормально. Клиент отправляет сообщение подтверждения, а сервер отвечает сообщением с 4 записями:

handshake (22)
- server_hello (2) 
- certificate (11) 
- server_key_exchange (12)
- certificate_request (13) 
- server_hello_done (14)

Затем клиент отправляет сообщение, состоящее из трех частей:

handshake (22)
 - certificate (11)
 - client_key_exchange (16)

change_cipher_spec (20)
 - client_hello (1)

handshake (22)
 *** Encrypted Message ****

SSLEngine разворачивает запрос клиента и анализирует записи, но метод переноса возвращает 0 байт со статусом рукопожатия OK/NEED_UNWRAP. Другими словами, мне нечего отправлять обратно клиенту, и рукопожатие резко останавливается.

Здесь я застрял.

В отладчике я вижу, что SSLEngine, в частности, ServerHandshaker, не находит сертификатов одноранговых узлов. Это довольно очевидно, когда я смотрю на запись сертификата от клиента, которая имеет длину 0 байт. Но почему?

Я могу только предположить, что с ответом HelloServer что-то не так, но я не могу указать на это. Кажется, что сервер отправляет действительный сертификат, но клиент ничего не отправляет обратно. Есть ли проблема с моим хранилищем ключей? Или это трастовый магазин? Или это как-то связано с тем, как я создаю экземпляр SSLEngine? Я в тупике.

Пара других моментов:

• Хранилище ключей и хранилище доверенных сертификатов, упомянутые в приведенном выше фрагменте кода, были созданы с использованием следующего руководства: http://www.techbrainwave.com/?p=953
• Я использую Firefox 10 и IE 9 в качестве клиента для тестирования сервера. Одинаковые результаты для обоих веб-клиентов.
• Я использую Sun/Oracle JDK 6 и Java Secure Socket Extension (JSSE), которые поставляются вместе с ним.

Я с нетерпением жду любых указаний, которые вы могли бы дать, но, пожалуйста, не говорите мне, что я сошел с ума или использовать Netty или Grizzly или какое-либо другое существующее решение. Просто на данный момент это не вариант. Я просто хочу понять, что я делаю не так.

Заранее спасибо!