Akzeptieren-server selbst signiertes ssl-Zertifikat im Java-client

Ich jagte hinunter, dieses problem zu einem Zertifikat-Anbieter, die nicht Teil der Standard-JVM-vertrauenswürdigen hosts als von JDK 8u74. Der Anbieter ist http://www.identrust.com, aber das war nicht die Domäne habe ich versucht, eine Verbindung herzustellen. Diese Domäne bekommen hatte, sein Zertifikat von diesem Anbieter. Sehen Wird das Kreuz root-Abdeckung Vertrauen, indem Sie die Standard-Liste in der JDK/JRE? -- Lesen Sie unten ein paar Einträge. Siehe auch Welche Browser und Betriebssysteme unterstützen die Let ' s Encrypt.

So, um die Verbindung zu der Domäne, an dem ich interessiert war, hatte ein Zertifikat von identrust.com ich habe die folgenden Schritte. Im Grunde genommen, ich hatte die identrust.com (DST Root CA X3) dem Zertifikat Vertrauen, indem Sie die JVM. Ich war in der Lage zu tun, dass die Verwendung von Apache HttpComponents 4.5 wie so:

1: Erhalten Sie das Zertifikat aus indettrust bei Zertifikat-Chain-Download-Anweisungen. Klicken Sie auf die DST Root CA X3 link.

2: Speichern Sie die Zeichenfolge in eine Datei mit dem Namen "DST Root CA X3.pem". Werden Sie sicher, dass Sie die Zeilen "-----BEGIN CERTIFICATE-----" und "-----END CERTIFICATE-----" in der Datei am Anfang und am Ende.

3: Erstellen Sie eine java-keystore-Datei cacerts.jks mit dem folgenden Befehl:

keytool -import -v -trustcacerts -alias IdenTrust -keypass yourpassword -file dst_root_ca_x3.pem -keystore cacerts.jks -storepass yourpassword

4: Kopieren Sie die resultierende cacerts.jks keystore in das Ressourcen-Verzeichnis Ihrer java - /(maven) application.

5: den folgenden code Verwenden, um diese Datei zu laden und befestigen Sie es an der Apache 4.5 HttpClient. Das wird das problem lösen für alle domains haben, die Zertifikate aus indetrust.com util oracle schließt das Zertifikat in den JRE default-keystore.

SSLContext sslcontext = SSLContexts.custom()
        .loadTrustMaterial(new File(CalRestClient.class.getResource("/cacerts.jks").getFile()), "yourpasword".toCharArray(),
                new TrustSelfSignedStrategy())
        .build();
//Allow TLSv1 protocol only
SSLConnectionSocketFactory sslsf = new SSLConnectionSocketFactory(
        sslcontext,
        new String[] { "TLSv1" },
        null,
        SSLConnectionSocketFactory.getDefaultHostnameVerifier());
CloseableHttpClient httpclient = HttpClients.custom()
        .setSSLSocketFactory(sslsf)
        .build();

Wenn das Projekt baut dann die cacerts.jks wird kopiert und in den classpath geladen und von dort aus. Ich wusste nicht, an diesem Punkt in der Zeit, test gegen andere ssl-Seiten, aber wenn der obige code "Ketten", die in diesem Zertifikat arbeiten Sie auch, aber wieder, ich weiß es nicht.

Referenz: Benutzerdefinierte SSL-Kontext und Wie übernehme ich ein selbst-signiertes Zertifikat in einen Java-HttpsURLConnection?

InformationsquelleAutor K.Nicholas

Eher als die Einstellung der Standard-socket-factory (die IMO ist eine schlechte Sache) - yhis nur Auswirkungen auf die aktuelle Verbindung, anstatt jedes SSL-Verbindung, die Sie versuchen, zu öffnen:

URLConnection connection = url.openConnection();
    //JMD - this is a better way to do it that doesn't override the default SSL factory.
    if (connection instanceof HttpsURLConnection)
    {
        HttpsURLConnection conHttps = (HttpsURLConnection) connection;
        //Set up a Trust all manager
        TrustManager[] trustAllCerts = new TrustManager[] { new X509TrustManager()
        {

            public java.security.cert.X509Certificate[] getAcceptedIssuers()
            {
                return null;
            }

            public void checkClientTrusted(
                java.security.cert.X509Certificate[] certs, String authType)
            {
            }

            public void checkServerTrusted(
                java.security.cert.X509Certificate[] certs, String authType)
            {
            }
        } };

        //Get a new SSL context
        SSLContext sc = SSLContext.getInstance("TLSv1.2");
        sc.init(null, trustAllCerts, new java.security.SecureRandom());
        //Set our connection to use this SSL context, with the "Trust all" manager in place.
        conHttps.setSSLSocketFactory(sc.getSocketFactory());
        //Also force it to trust all hosts
        HostnameVerifier allHostsValid = new HostnameVerifier() {
            public boolean verify(String hostname, SSLSession session) {
                return true;
            }
        };
        //and set the hostname verifier.
        conHttps.setHostnameVerifier(allHostsValid);
    }
InputStream stream = connection.getInputStream();

InformationsquelleAutor Jon Daniel

Wenn 'Sie' ein selbst signiertes Zertifikat, es ist bis zu Ihnen, um die Schritte, die erforderlich sind, um Ihre server nutzbar. Das heißt konkret: bietet Ihr Zertifikat, um Sie offline in einer vertrauenswürdigen Weise. So erhalten Sie zu tun. Anschließend importieren Sie diese in Ihre truststore verwenden das Dienstprogramm keytool, wie beschrieben in der JSSE Reference Guide. Denken Sie gar nicht über die unsichere TrustManager hier gepostet.

BEARBEITEN zugunsten der siebzehn (!) downvoters, und zahlreiche Kommentatoren unten, die haben eindeutig nicht wirklich gelesen was ich hier geschrieben habe, ist dies nicht eine jeremiad gegen self-signed-Zertifikate. Es ist nichts falsch mit selbst-signierten Zertifikaten wenn korrekt implementiert. Aber, der richtige Weg, um Sie zu implementieren ist, um das Zertifikat haben geliefert sicher über einen offline-Prozess,, anstatt über den nicht authentifizierten Kanal Sie gehen, um verwendet werden, um sich zu authentifizieren. Sicherlich ist dies offensichtlich? Es ist sicherlich offensichtlich für jeden sicherheitsbewussten Organisation, der ich jemals gearbeitet haben, von den Banken mit tausenden von Filialen an meinem eigenen Unternehmen. Der client-seitige code-base 'Lösung' zu Vertrauen alle Zertifikate, einschließlich selbst-signierte Zertifikate signiert von absolut niemandem, oder jedem beliebigen Körper die Einstellung sich selbst als ZERTIFIZIERUNGSSTELLE, ist ipso facto nicht sicher. Es ist einfach zu spielen auf Sicherheit. Es ist sinnlos. Sie haben eine private, manipulationssicher, reply-Nachweis -, Injektions-Beweis Gespräch mit ... jemand. Niemanden. Ein Mann in der Mitte. Ein Imitator. Niemanden. Sie kann genauso gut mit Klartext.

InformationsquelleAutor user207421