我还很陌生,对于HTTPS/SSL/TLS
使用证书进行身份验证时客户端应该显示的内容有些困惑。
我正在编写一个Java客户端,该客户端需要对POST
特定对象进行简单的数据处理URL
。那部分工作正常,唯一的问题是应该完成HTTPS
。该HTTPS
部分相当容易处理(无论是HTTPclient
使用Java的内置HTTPS
支持还是使用Java的内置支持),但是我一直坚持使用客户端证书进行身份验证。我注意到这里已经存在一个非常类似的问题,我还没有尝试使用我的代码(很快就会这样做)。我当前的问题是-无论做什么,Java客户端都永远不会发送证书(我可以通过PCAP
转储检查它)。
我想知道在使用证书进行身份验证时,客户端到底应该向服务器呈现什么(特别是对于Java,如果有的话)?这是JKS
文件PKCS#12
吗?里面应该有什么?只是客户证书还是密钥?如果是这样,哪个键?关于所有不同类型的文件,证书类型等,都存在很多困惑。
正如我之前刚接触过的内容所说的HTTPS/SSL/TLS
那样,我也将不胜感激一些背景信息(不必是散文;我会选择好文章的链接)。
终于设法解决了所有问题,所以我会回答我自己的问题。这些是我用来解决特定问题的设置/文件;
该客户端的密钥库是一个PKCS#12格式文件包含
为了生成它,我使用了OpenSSL的pkcs12
命令。
openssl pkcs12 -export -in client.crt -inkey client.key -out client.p12 -name "Whatever"
提示:确保获得最新的OpenSSL,而不是版本0.9.8h,因为这似乎存在一个错误,使您无法正确生成PKCS#12文件。
当服务器明确要求客户端进行身份验证时,Java客户端将使用此PKCS#12文件向服务器提供客户端证书。有关客户端证书身份验证协议实际工作方式的概述,请参阅TLS上的Wikipedia文章(在此处还说明了为什么需要客户端的私钥)。
所述客户机的信任是直向前JKS格式包含该文件的根或中间CA证书。这些CA证书将确定允许您与哪些端点进行通信,在这种情况下,它将允许您的客户端连接到提供由信任库的CA之一签名的证书的任何服务器。
要生成它,您可以使用标准的Java键盘工具,例如;
keytool -genkey -dname "cn=CLIENT" -alias truststorekey -keyalg RSA -keystore ./client-truststore.jks -keypass whatever -storepass whatever
keytool -import -keystore ./client-truststore.jks -file myca.crt -alias myca
使用此信任库,您的客户端将尝试与所有提供由标识的CA签名的证书的服务器进行完整的SSL握手myca.crt
。
上面的文件仅适用于客户端。当您还想设置服务器时,服务器需要自己的密钥和信任库文件。在此网站上可以找到有关为Java客户端和服务器(使用Tomcat)设置完全正常工作的示例的出色演练。
问题/备注/提示
-Djavax.net.debug=ssl
如果您对Java SSL调试输出不满意,它类似于但更结构化(并且可以说)更易于解释。完全可以使用Apache httpclient库。如果要使用httpclient,只需用等效的HTTPS替换目标URL,然后添加以下JVM参数(对于其他任何客户端,该参数都是相同的,而不管您要用于通过HTTP / HTTPS发送/接收数据的库如何) :
-Djavax.net.debug=ssl
-Djavax.net.ssl.keyStoreType=pkcs12
-Djavax.net.ssl.keyStore=client.p12
-Djavax.net.ssl.keyStorePassword=whatever
-Djavax.net.ssl.trustStoreType=jks
-Djavax.net.ssl.trustStore=client-truststore.jks
-Djavax.net.ssl.trustStorePassword=whatever
本文收集自互联网,转载请注明来源。
如有侵权,请联系 [email protected] 删除。
我来说两句