Sertifikat klien Java melalui HTTPS / SSL

Saya menggunakan Java 6 dan mencoba membuat HttpsURLConnectionserver jauh melawan, menggunakan sertifikat klien.
Server menggunakan sertifikat akar yang ditandatangani sendiri, dan mengharuskan sertifikat klien yang dilindungi sandi disajikan. Saya telah menambahkan sertifikat root server dan sertifikat klien ke keystore java default yang saya temukan di /System/Library/Frameworks/JavaVM.framework/Versions/1.6.0/Home/lib/security/cacerts(OSX 10.5). Nama file keystore sepertinya menyarankan bahwa sertifikat klien tidak seharusnya masuk ke sana?

Bagaimanapun, menambahkan sertifikat root ke toko ini menyelesaikan masalah yang terkenal itu javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed' problem.

Namun, saya sekarang terjebak pada cara menggunakan sertifikat klien. Saya sudah mencoba dua pendekatan dan tidak membawa saya kemana-mana.
Pertama, dan lebih disukai, coba:

SSLSocketFactory sslsocketfactory = (SSLSocketFactory) SSLSocketFactory.getDefault();
URL url = new URL("https://somehost.dk:3049");
HttpsURLConnection conn = (HttpsURLConnection)url.openConnection();
conn.setSSLSocketFactory(sslsocketfactory);
InputStream inputstream = conn.getInputStream();
// The last line fails, and gives:
// javax.net.ssl.SSLHandshakeException: Received fatal alert: handshake_failure

Saya telah mencoba melewatkan kelas HttpsURLConnection (tidak ideal karena saya ingin berbicara tentang HTTP dengan server), dan melakukan ini sebagai gantinya:

SSLSocketFactory sslsocketfactory = (SSLSocketFactory) SSLSocketFactory.getDefault();
SSLSocket sslsocket = (SSLSocket) sslsocketfactory.createSocket("somehost.dk", 3049);
InputStream inputstream = sslsocket.getInputStream();
// do anything with the inputstream results in:
// java.net.SocketTimeoutException: Read timed out

Saya bahkan tidak yakin bahwa sertifikat klien adalah masalahnya di sini.

Akhirnya dipecahkan;). Punya petunjuk kuat di sini (jawaban Gandalf sedikit menyinggung soal itu juga). Tautan yang hilang (kebanyakan) adalah yang pertama dari parameter di bawah ini, dan sampai batas tertentu saya mengabaikan perbedaan antara keystore dan truststore.

Sertifikat server yang ditandatangani sendiri harus diimpor ke truststore:

keytool -import -alias gridserver -file gridserver.crt -storepass $ PASS -keystore gridserver.keystore

Properti ini perlu disetel (baik di baris perintah, atau dalam kode):

-Djavax.net.ssl.keyStoreType=pkcs12
-Djavax.net.ssl.trustStoreType=jks
-Djavax.net.ssl.keyStore=clientcertificate.p12
-Djavax.net.ssl.trustStore=gridserver.keystore
-Djavax.net.debug=ssl # very verbose debug
-Djavax.net.ssl.keyStorePassword=$PASS
-Djavax.net.ssl.trustStorePassword=$PASS

Kode contoh kerja:

SSLSocketFactory sslsocketfactory = (SSLSocketFactory) SSLSocketFactory.getDefault();
URL url = new URL("https://gridserver:3049/cgi-bin/ls.py");
HttpsURLConnection conn = (HttpsURLConnection)url.openConnection();
conn.setSSLSocketFactory(sslsocketfactory);
InputStream inputstream = conn.getInputStream();
InputStreamReader inputstreamreader = new InputStreamReader(inputstream);
BufferedReader bufferedreader = new BufferedReader(inputstreamreader);

String string = null;
while ((string = bufferedreader.readLine()) != null) {
    System.out.println("Received " + string);
}

Meskipun tidak disarankan, Anda juga dapat menonaktifkan validasi sertifikat SSL sekaligus:

import javax.net.ssl.*;
import java.security.SecureRandom;
import java.security.cert.X509Certificate;

public class SSLTool {

  public static void disableCertificateValidation() {
    // Create a trust manager that does not validate certificate chains
    TrustManager[] trustAllCerts = new TrustManager[] { 
      new X509TrustManager() {
        public X509Certificate[] getAcceptedIssuers() { 
          return new X509Certificate[0]; 
        }
        public void checkClientTrusted(X509Certificate[] certs, String authType) {}
        public void checkServerTrusted(X509Certificate[] certs, String authType) {}
    }};

    // Ignore differences between given hostname and certificate hostname
    HostnameVerifier hv = new HostnameVerifier() {
      public boolean verify(String hostname, SSLSession session) { return true; }
    };

    // Install the all-trusting trust manager
    try {
      SSLContext sc = SSLContext.getInstance("SSL");
      sc.init(null, trustAllCerts, new SecureRandom());
      HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());
      HttpsURLConnection.setDefaultHostnameVerifier(hv);
    } catch (Exception e) {}
  }
}

Sudahkah Anda menyetel properti KeyStore dan / atau TrustStore System?

java -Djavax.net.ssl.keyStore=pathToKeystore -Djavax.net.ssl.keyStorePassword=123456

atau dari dengan kode

System.setProperty("javax.net.ssl.keyStore", pathToKeyStore);

Sama dengan javax.net.ssl.trustStore

Jika Anda berurusan dengan panggilan layanan web menggunakan kerangka kerja Axis, ada jawaban yang jauh lebih sederhana. Jika semua yang diinginkan adalah klien Anda dapat memanggil layanan web SSL dan mengabaikan kesalahan sertifikat SSL, cukup letakkan pernyataan ini sebelum Anda menjalankan layanan web apa pun:

System.setProperty("axis.socketSecureFactory", "org.apache.axis.components.net.SunFakeTrustSocketFactory");

Penafian biasa tentang hal ini sebagai Hal yang Sangat Buruk yang harus dilakukan di lingkungan produksi berlaku.

Saya menemukan ini di wiki Axis .

Bagi saya, inilah yang berhasil menggunakan Apache HttpComponents ~ HttpClient 4.x:

    KeyStore keyStore  = KeyStore.getInstance("PKCS12");
    FileInputStream instream = new FileInputStream(new File("client-p12-keystore.p12"));
    try {
        keyStore.load(instream, "helloworld".toCharArray());
    } finally {
        instream.close();
    }

    // Trust own CA and all self-signed certs
    SSLContext sslcontext = SSLContexts.custom()
        .loadKeyMaterial(keyStore, "helloworld".toCharArray())
        //.loadTrustMaterial(trustStore, new TrustSelfSignedStrategy()) //custom trust store
        .build();
    // Allow TLSv1 protocol only
    SSLConnectionSocketFactory sslsf = new SSLConnectionSocketFactory(
        sslcontext,
        new String[] { "TLSv1" },
        null,
        SSLConnectionSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER); //TODO
    CloseableHttpClient httpclient = HttpClients.custom()
        .setHostnameVerifier(SSLConnectionSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER) //TODO
        .setSSLSocketFactory(sslsf)
        .build();
    try {

        HttpGet httpget = new HttpGet("https://localhost:8443/secure/index");

        System.out.println("executing request" + httpget.getRequestLine());

        CloseableHttpResponse response = httpclient.execute(httpget);
        try {
            HttpEntity entity = response.getEntity();

            System.out.println("----------------------------------------");
            System.out.println(response.getStatusLine());
            if (entity != null) {
                System.out.println("Response content length: " + entity.getContentLength());
            }
            EntityUtils.consume(entity);
        } finally {
            response.close();
        }
    } finally {
        httpclient.close();
    }

File P12 berisi sertifikat klien dan kunci pribadi klien, yang dibuat dengan BouncyCastle:

public static byte[] convertPEMToPKCS12(final String keyFile, final String cerFile,
    final String password)
    throws IOException, CertificateException, KeyStoreException, NoSuchAlgorithmException,
    NoSuchProviderException
{
    // Get the private key
    FileReader reader = new FileReader(keyFile);

    PEMParser pem = new PEMParser(reader);
    PEMKeyPair pemKeyPair = ((PEMKeyPair)pem.readObject());
    JcaPEMKeyConverter jcaPEMKeyConverter = new JcaPEMKeyConverter().setProvider("BC");
    KeyPair keyPair = jcaPEMKeyConverter.getKeyPair(pemKeyPair);

    PrivateKey key = keyPair.getPrivate();

    pem.close();
    reader.close();

    // Get the certificate
    reader = new FileReader(cerFile);
    pem = new PEMParser(reader);

    X509CertificateHolder certHolder = (X509CertificateHolder) pem.readObject();
    java.security.cert.Certificate x509Certificate =
        new JcaX509CertificateConverter().setProvider("BC")
            .getCertificate(certHolder);

    pem.close();
    reader.close();

    // Put them into a PKCS12 keystore and write it to a byte[]
    ByteArrayOutputStream bos = new ByteArrayOutputStream();
    KeyStore ks = KeyStore.getInstance("PKCS12", "BC");
    ks.load(null);
    ks.setKeyEntry("key-alias", (Key) key, password.toCharArray(),
        new java.security.cert.Certificate[]{x509Certificate});
    ks.store(bos, password.toCharArray());
    bos.close();
    return bos.toByteArray();
}

Saya menggunakan paket Klien HTTP Apache commons untuk melakukan ini dalam proyek saya saat ini dan berfungsi dengan baik dengan SSL dan sertifikat yang ditandatangani sendiri (setelah menginstalnya ke cacert seperti yang Anda sebutkan). Silakan lihat di sini:

http://hc.apache.org/httpclient-3.x/tutorial.html

http://hc.apache.org/httpclient-3.x/sslguide.html

Saya rasa Anda memiliki masalah dengan sertifikat server Anda, bukan sertifikat yang valid (menurut saya inilah yang dimaksud dengan "handshake_failure" dalam kasus ini):

Impor sertifikat server Anda ke keystore trustcacerts Anda pada JRE klien. Ini mudah dilakukan dengan keytool :

keytool
    -import
    -alias <provide_an_alias>
    -file <certificate_file>
    -keystore <your_path_to_jre>/lib/security/cacerts

Menggunakan kode di bawah ini

-Djavax.net.ssl.keyStoreType=pkcs12

atau

System.setProperty("javax.net.ssl.keyStore", pathToKeyStore);

sama sekali tidak diperlukan. Juga tidak perlu membuat pabrik SSL kustom Anda sendiri.

Saya juga mengalami masalah yang sama, dalam kasus saya ada masalah bahwa rantai sertifikat lengkap tidak diimpor ke truststore. Impor sertifikat menggunakan utilitas keytool tepat dari sertifikat root, Anda juga dapat membuka file cacerts di notepad dan melihat apakah rantai sertifikat lengkap diimpor atau tidak. Periksa dengan nama alias yang Anda berikan saat mengimpor sertifikat, buka sertifikat dan lihat berapa isinya, jumlah sertifikat yang sama harus ada di file cacerts.

File cacerts juga harus dikonfigurasi di server tempat Anda menjalankan aplikasi, kedua server akan mengautentikasi satu sama lain dengan kunci publik / pribadi.