2026.01.30

【Java17】突然のSSLHandshakeExceptionを解決。原因はマイナーアップデートによる「暗号スイートの制限」だった

saratogax

記事内に商品プロモーションを含む場合があります

Java環境をアップデートした後、今まで正常に通信できていた外部APIとの接続で突然 SSLHandshakeException: Received fatal alert: handshake_failure が発生することはありませんか？

一見、接続先サーバーやネットワークの不具合に見えますが、実はJava17のマイナーアップデートによる「セキュリティの厳格化」が原因である場合があります。

今回は、原因の切り分けから解決に至るまでの実録をまとめました。

Contents

1. 事象：OSとJavaの更新後に通信不能に

開発環境や本番環境のベースイメージを更新した直後、特定の外部エンドポイントとの通信で以下のエラーがログに記録されました。

Caused by: javax.net.ssl.SSLHandshakeException: Received fatal alert: handshake_failure

接続先のサーバー側から「ハンドシェイク失敗」として通信を即座に切断されている状態です。直前まで疎通できていたことから、インフラ的な要因よりも「環境更新による通信プロトコルのミスマッチ」が疑われました。

まず、ネットワークの問題なのか、Java固有の問題なのかを切り分けるために以下の確認を行いました。

Podやコンテナ内に curl をインストールし、OSレベルでの疎通を確認します。

# curlでの詳細ログ確認
curl -v https://api.example.com

結果: 200 OK（成功）この結果から、ネットワーク経路や相手サーバー自体には問題がなく、「Javaという言語環境」特有の問題であることが確定しました。

Javaの標準ツール keytool を使い、JVMがどのようにハンドシェイクを試みているか詳細ログを出力します。

keytool -printcert -sslserver api.example.com:443 -J-Djavax.net.debug=ssl,handshake

このログを確認したところ、相手サーバーが要求している暗号方式（Cipher Suite）に対し、Java側が適合するものを提示できていないことが分かりました。

接続先のサーバー（特に金融系やレガシーな決済基盤）では、依然として以下の暗号スイートのみを許可しているケースがあります。

これらは 「RSA鍵交換」 を使用しますが、Java 17.0.18以降などの最新パッチでは、前方秘匿性（Forward Secrecy）がないことを理由に、デフォルトでこれらのアルゴリズムが制限、あるいは優先順位が極端に下げられるようになりました。

今回のケースでは、Javaのバージョンを 17.0.18 から 17.0.17 へ一段階戻すことで、即座に疎通が復旧しました。
(Docker イメージのバージョン固定をした)

将来的にJavaを最新版に維持しつつ、レガシーな接続先と通信を続けるには、以下の対応が必要になります。

Javaのセキュリティポリシー（java.security）の変更 jdk.tls.disabledAlgorithms プロパティから、接続に必用なアルゴリズム（RSA等）の制限を解除する。
接続先サーバーのモダナイズ依頼 接続先に対して、より安全な ECDHE（楕円曲線ディフィー・ヘルマン）方式のサポートを依頼する。