corba-iiop-ssl 是什么
684 号 TCP/UDP 的 IANA 登记名是 corba-iiop-ssl，登记说明为 CORBA IIOP SSL，登记人为 Andrew Watson。CORBA 是 1990 年代分布式对象中间件的代表标准，IIOP 是它默认的传输协议；683 承载明文 IIOP，684 则在它之上加了一层 SSL，为对象请求提供传输加密。随着企业中间件转向 HTTP 与消息队列，CORBA 在新系统中已基本退出。
基本信息
| 服务名 | corba-iiop-ssl |
|---|---|
| 端口 | 684（TCP 与 UDP 同名登记） |
| 背景 | OMG CORBA 安全扩展 |
| 对照端口 | 683 为明文 IIOP |
| 现状 | 遗留中间件，新建系统极少使用 |
典型使用场景
- 老系统评估：金融、电信遗留系统中仍有 CORBA 组件的场景
- 中间件盘点：区分明文 IIOP 与加密 IIOP 的使用情况
- 安全核查：确认加密版本是否真的启用，而非仅保留登记
- 迁移规划：评估从 CORBA 到现代接口的改造成本
- 端口字典核对：确认 683/684 的分工与现状
排查命令
排查命令
ss -lntup 'sport = :684' # 本机 684 端口监听情况
ss -lntup | grep -E ':(683|684) ' # 明文与加密 IIOP 一起看
sudo lsof -i :684 # 反查进程
openssl s_client -connect host:684 </dev/null 2>/dev/null | head -5 # 确认 TLS 握手是否可用
netstat -ano | findstr ':684 ' # Windows 侧对照IIOP 端口对照
| 端口 | 形态 | 风险 |
|---|---|---|
| 683 | 明文 IIOP | 对象请求内容可被嗅探 |
| 684 | IIOP over SSL | 依赖证书体系，配置不当会退化为低强度加密 |
| — | 对象引用（IOR） | 常以字符串形式内嵌地址与端口，泄露面易被忽略 |
| 现代对照 | HTTP/gRPC + TLS | 新建系统主流方向 |
CORBA 对象引用里通常内嵌主机与端口信息，一旦被外部获取，等于获得了一张内部服务地图。做暴露面评估时不要把注意力只放在端口上，也要看服务对外返回的引用内容。
遗留中间件的迁移成本主要在业务耦合度：接口定义、事务边界与序列化方式都可能依赖 CORBA 特性。可行路径通常是先在新接口上包一层适配服务，逐步替换调用方，而不是一次性重写。
这类组件往往运行年代久远，配套的 JDK 与库版本也可能很旧。评估时把运行环境版本一并纳入：即便业务逻辑无风险，老旧依赖本身也是需要跟踪的隐患。