Как я могу использовать разные сертификаты для определенных соединений?

Question

Как я могу использовать разные сертификаты для определенных соединений?

Модуль, который я добавляю в наше большое Java-приложение, должен взаимодействовать с веб-сайтом, защищенным SSL. Проблема в том, что сайт использует самозаверяющий сертификат. У меня есть копия сертификата, чтобы убедиться, что я не сталкиваюсь с атакой "человек посередине", и мне нужно включить этот сертификат в наш код таким образом, чтобы соединение с сервером было успешным.

Вот основной код:

void sendRequest(String dataPacket) {
  String urlStr = "https://host.example.com/";
  URL url = new URL(urlStr);
  HttpURLConnection conn = (HttpURLConnection)url.openConnection();
  conn.setMethod("POST");
  conn.setRequestProperty("Content-Length", data.length());
  conn.setDoOutput(true);
  OutputStreamWriter o = new OutputStreamWriter(conn.getOutputStream());
  o.write(data);
  o.flush();
}

Без какой-либо дополнительной обработки для самозаверяющего сертификата это происходит в conn.getOutputStream() со следующим исключением:

Exception in thread "main" javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
....
Caused by: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
....
Caused by: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

В идеале мой код должен научить Java принимать этот один самозаверяющий сертификат, для этого единственного места в приложении, и нигде больше.

Я знаю, что могу импортировать сертификат в хранилище центра сертификации JRE, и это позволит Java принять его. Это не тот подход, которым я хочу воспользоваться, если смогу помочь; кажется очень инвазивным делать на всех машинах наших клиентов один модуль, который они могут не использовать; это повлияет на все другие приложения Java, использующие ту же JRE, и мне это не нравится, хотя шансы любого другого приложения Java, когда-либо получающего доступ к этому сайту, равны нулю. Это также не тривиальная операция: в UNIX мне нужно получить права доступа для изменения JRE таким образом.

Я также видел, что я могу создать экземпляр TrustManager, который выполняет некоторую пользовательскую проверку. Похоже, я мог бы даже создать TrustManager, который делегирует реальный TrustManager во всех случаях, кроме этого одного сертификата. Но похоже, что TrustManager устанавливается глобально, и я предполагаю, что это повлияет на все другие соединения из нашего приложения, и это тоже не совсем подходит для меня.

Каков предпочтительный, стандартный или лучший способ настроить приложение Java для принятия самозаверяющего сертификата? Могу ли я достичь всех целей, которые я имею в виду выше, или мне придется идти на компромисс? Есть ли опция, включающая файлы и каталоги, а также параметры конфигурации и практически неиспользуемый код?

174

java ssl keystore truststore jsse

Источник

user18103 13 май '09 в 16:54

5 ответов

Решение

Я прочитал много мест в Интернете, чтобы решить эту проблему. Вот код, который я написал, чтобы заставить его работать:

                ByteArrayInputStream derInputStream = new ByteArrayInputStream(app.certificateString.getBytes());
                CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");
                X509Certificate cert = (X509Certificate) certificateFactory.generateCertificate(derInputStream);
                String alias = "alias";//cert.getSubjectX500Principal().getName();

                KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
                trustStore.load(null);
                trustStore.setCertificateEntry(alias, cert);
                KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
                kmf.init(trustStore, null);
                KeyManager[] keyManagers = kmf.getKeyManagers();

                TrustManagerFactory tmf = TrustManagerFactory.getInstance("X509");
                tmf.init(trustStore);
                TrustManager[] trustManagers = tmf.getTrustManagers();

                SSLContext sslContext = SSLContext.getInstance("TLS");
                sslContext.init(keyManagers, trustManagers, null);
                URL url = new URL(someURL);
                conn = (HttpsURLConnection) url.openConnection();
                conn.setSSLSocketFactory(sslContext.getSocketFactory());

app.certificateString - это строка, содержащая сертификат, например:

            static public String certificateString=
            "-----BEGIN CERTIFICATE-----\n" +
            "MIIGQTCCBSmgAwIBAgIHBcg1dAivUzANBgkqhkiG9w0BAQsFADCBjDELMAkGA1UE" +
            "BhMCSUwxFjAUBgNVBAoTDVN0YXJ0Q29tIEx0ZC4xKzApBgNVBAsTIlNlY3VyZSBE" +
            ... a bunch of characters...
            "5126sfeEJMRV4Fl2E5W1gDHoOd6V==\n" +
            "-----END CERTIFICATE-----";

Я проверил, что вы можете помещать любые символы в строку сертификата, если она является самозаверяющей, при условии соблюдения точной структуры выше. Я получил строку сертификата с помощью командной строки терминала моего ноутбука.

19

Источник

user2950618 30 дек '15 в 16:57

Если создание SSLSocketFactory это не вариант, просто импортируйте ключ в JVM

Получить открытый ключ:$openssl s_client -connect dev-server:443Затем создайте файл dev-server.pem, который выглядит
```
-----BEGIN CERTIFICATE----- 
lklkkkllklklklklllkllklkl
lklkkkllklklklklllkllklkl
lklkkkllklk....
-----END CERTIFICATE-----
```
Импортировать ключ: #keytool -import -alias dev-server -keystore $JAVA_HOME/jre/lib/security/cacerts -file dev-server.pem, Пароль: изменить
Перезапустите JVM

Источник: Как решить javax.net.ssl.SSLHandshakeException?

14

Источник

user454322 02 ноя '12 в 10:06

Мне приходилось делать что-то подобное при использовании commons-httpclient для доступа к внутреннему серверу https с самозаверяющим сертификатом. Да, наше решение состояло в том, чтобы создать собственный TrustManager, который просто проходил все (регистрируя отладочное сообщение).

Это сводится к тому, что у нас есть собственный SSLSocketFactory, который создает сокеты SSL из нашего локального SSLContext, который настроен так, что с ним связан только наш локальный TrustManager. Вам совсем не нужно подходить к хранилищу ключей / хранилищу ключей.

Так что это в нашей LocalSSLSocketFactory:

static {
    try {
        SSL_CONTEXT = SSLContext.getInstance("SSL");
        SSL_CONTEXT.init(null, new TrustManager[] { new LocalSSLTrustManager() }, null);
    } catch (NoSuchAlgorithmException e) {
        throw new RuntimeException("Unable to initialise SSL context", e);
    } catch (KeyManagementException e) {
        throw new RuntimeException("Unable to initialise SSL context", e);
    }
}

public Socket createSocket(String host, int port) throws IOException, UnknownHostException {
    LOG.trace("createSocket(host => {}, port => {})", new Object[] { host, new Integer(port) });

    return SSL_CONTEXT.getSocketFactory().createSocket(host, port);
}

Наряду с другими методами, реализующими SecureProtocolSocketFactory. LocalSSLTrustManager является вышеупомянутой фиктивной реализацией диспетчера доверия.

12

Источник

user85134 13 май '09 в 17:25

Мы копируем хранилище доверенных сертификатов JRE и добавляем наши собственные сертификаты в это хранилище доверенных сертификатов, а затем указываем приложению использовать настраиваемое хранилище доверенных сертификатов с системным свойством. Таким образом, мы оставляем хранилище доверенных сертификатов JRE по умолчанию в одиночку.

Недостатком является то, что при обновлении JRE его новое хранилище доверенных сертификатов не будет автоматически объединено с вашим собственным.

Вы могли бы справиться с этим сценарием, установив установщик или подпрограмму запуска, которая проверяет хранилище доверенных сертификатов /jdk и проверяет несоответствие или автоматически обновляет хранилище доверенных сертификатов. Я не знаю, что произойдет, если вы обновите склад доверенных сертификатов во время работы приложения.

Это решение не является на 100% элегантным или надежным, но оно простое, работает и не требует кода.

12

Источник

user7867 13 май '09 в 17:17

Другие вопросы по тегам java ssl keystore truststore jsse

user3474 13 май '09 в 17:22 2009-05-13 17:22 · Accepted Answer · 2009-05-13 17:22

Создать SSLSocket заводить себя, и установить его на HttpsURLConnection перед подключением.

...
HttpsURLConnection conn = (HttpsURLConnection)url.openConnection();
conn.setSSLSocketFactory(sslFactory);
conn.setMethod("POST");
...

Вы хотите создать один SSLSocketFactory и держи это вокруг. Вот эскиз того, как его инициализировать:

/* Load the keyStore that includes self-signed cert as a "trusted" entry. */
KeyStore keyStore = ... 
TrustManagerFactory tmf = 
  TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(keyStore);
SSLContext ctx = SSLContext.getInstance("TLS");
ctx.init(null, tmf.getTrustManagers(), null);
sslFactory = ctx.getSocketFactory();

Если вам нужна помощь в создании хранилища ключей, пожалуйста, прокомментируйте.

Вот пример загрузки хранилища ключей:

KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
keyStore.load(trustStore, trustStorePassword);
trustStore.close();

Чтобы создать хранилище ключей с сертификатом формата PEM, вы можете написать свой собственный код, используя CertificateFactoryили просто импортируйте его с keytool из JDK (keytool не будет работать для "ключевой записи", но вполне подходит для "доверенной записи").

keytool -import -file selfsigned.pem -alias server -keystore server.jks