Jak Mogę używać różnych certyfikatów na określonych połączeniach?

Jeśli tworzenie SSLSocketFactory nie jest opcją, po prostu zaimportuj klucz do JVM

1. Odzyskaj klucz publiczny: $openssl s_client -connect dev-server:443, następnie utwórz plik dev-server.pem wygląda jak

   -----BEGIN CERTIFICATE----- 
   lklkkkllklklklklllkllklkl
   lklkkkllklklklklllkllklkl
   lklkkkllklk....
   -----END CERTIFICATE-----
   

2. Import klucza: #keytool -import -alias dev-server -keystore $JAVA_HOME/jre/lib/security/cacerts -file dev-server.pem. Hasło: changeit

3. Restart JVM

Źródło: Jak rozwiązać javax.net. ssl. SSLHandshakeException?

Przeczytałem wiele miejsc w sieci, żeby to rozwiązać. To jest kod, który napisałem, aby to działało:

                ByteArrayInputStream derInputStream = new ByteArrayInputStream(app.certificateString.getBytes());
                CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");
                X509Certificate cert = (X509Certificate) certificateFactory.generateCertificate(derInputStream);
                String alias = "alias";//cert.getSubjectX500Principal().getName();

                KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
                trustStore.load(null);
                trustStore.setCertificateEntry(alias, cert);
                KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
                kmf.init(trustStore, null);
                KeyManager[] keyManagers = kmf.getKeyManagers();

                TrustManagerFactory tmf = TrustManagerFactory.getInstance("X509");
                tmf.init(trustStore);
                TrustManager[] trustManagers = tmf.getTrustManagers();

                SSLContext sslContext = SSLContext.getInstance("TLS");
                sslContext.init(keyManagers, trustManagers, null);
                URL url = new URL(someURL);
                conn = (HttpsURLConnection) url.openConnection();
                conn.setSSLSocketFactory(sslContext.getSocketFactory());

App.certificateString to łańcuch zawierający certyfikat, na przykład:

            static public String certificateString=
            "-----BEGIN CERTIFICATE-----\n" +
            "MIIGQTCCBSmgAwIBAgIHBcg1dAivUzANBgkqhkiG9w0BAQsFADCBjDELMAkGA1UE" +
            "BhMCSUwxFjAUBgNVBAoTDVN0YXJ0Q29tIEx0ZC4xKzApBgNVBAsTIlNlY3VyZSBE" +
            ... a bunch of characters...
            "5126sfeEJMRV4Fl2E5W1gDHoOd6V==\n" +
            "-----END CERTIFICATE-----";

Przetestowałem, że możesz umieścić dowolne znaki w łańcuchu certyfikatu, jeśli jest on podpisany samodzielnie, o ile zachowasz dokładną strukturę powyżej. Uzyskałem ciąg certyfikatu za pomocą linii poleceń terminala mojego laptopa.

Kopiujemy truststore JRE i dodajemy nasze niestandardowe certyfikaty do tego truststore, a następnie każemy aplikacji używać custom truststore z właściwością systemową. W ten sposób zostawiamy domyślny truststore JRE.

Minusem jest to, że po aktualizacji JRE nie otrzymujesz jego nowego truststore automatycznie połączonego z niestandardowym.

Możesz poradzić sobie z tym scenariuszem, mając instalator lub procedurę startową, która weryfikuje truststore/jdk i sprawdza, czy niezgodność lub automatycznie aktualizuje truststore. Nie wiem, co się stanie, jeśli zaktualizujesz truststore podczas działania aplikacji.

To rozwiązanie nie jest w 100% eleganckie i niezawodne, ale jest proste, działa i nie wymaga kodu.

Musiałem zrobić coś takiego, używając commons-httpclient, aby uzyskać dostęp do wewnętrznego serwera https z własnym podpisem. Tak, naszym rozwiązaniem było stworzenie niestandardowego Trustmanagera, który po prostu przekazał wszystko (rejestrując komunikat debugowania).

Sprowadza się to do posiadania własnego SSLSocketFactory, który tworzy gniazda SSL z naszego lokalnego SSLContext, który jest skonfigurowany tak, aby był z nim powiązany tylko nasz lokalny TrustManager. Nie musisz zbliżać się do keystore/certstore w wszystkie.

Więc to jest w naszym LocalSSLSocketFactory:

static {
    try {
        SSL_CONTEXT = SSLContext.getInstance("SSL");
        SSL_CONTEXT.init(null, new TrustManager[] { new LocalSSLTrustManager() }, null);
    } catch (NoSuchAlgorithmException e) {
        throw new RuntimeException("Unable to initialise SSL context", e);
    } catch (KeyManagementException e) {
        throw new RuntimeException("Unable to initialise SSL context", e);
    }
}

public Socket createSocket(String host, int port) throws IOException, UnknownHostException {
    LOG.trace("createSocket(host => {}, port => {})", new Object[] { host, new Integer(port) });

    return SSL_CONTEXT.getSocketFactory().createSocket(host, port);
}

Wraz z innymi metodami implementującymi SecureProtocolSocketFactory. LocalSSLTrustManager jest wyżej wspomnianą implementacją dummy trust manager.