6

我在 Web 应用程序中使用的密钥库文件已于上周过期。我很久以前就生成了。所以我开始使用 keytool 生成新证书。我使用此证书连接事务服务器和 Web 服务器。我想为此应用程序使用自签名证书。我使用以下命令生成它来为事务服务器生成自签名密钥。

keytool -genkey -keystore keys/SvrKeyStore -keyalg rsa -validity 365 -alias Svr -storepass 123456 -keypass abcdefg -dname "CN=One1, OU=Development1, O=One, L=Bamba, S=Western Prov1, C=S1"

按照 commnad 为 Web 应用程序生成密钥库

keytool -genkey -keystore keys/ClientKeyStore -keyalg rsa -validity 365 -alias Web -storepass 123456 -keypass abcdefg -dname "CN=One, OU=Development, O=One, L=Bamba, S=Western Prov, C=SL"

我在事务服务器中使用了以下代码来创建套接字连接

          String KEYSTORE = Config.KEYSTORE_FILE;//SvrKeyStore  keystore file
          char[] KEYSTOREPW = "123456".toCharArray();
          char[] KEYPW = "abcdefg".toCharArray();
          com.sun.net.ssl.TrustManagerFactory tmf;

          boolean requireClientAuthentication;

          java.security.Security.addProvider(new com.sun.net.ssl.internal.ssl.
                                             Provider());
          java.security.KeyStore keystore = java.security.KeyStore.getInstance(
              "JKS");
          keystore.load(new FileInputStream(KEYSTORE), KEYSTOREPW);

          com.sun.net.ssl.KeyManagerFactory kmf = com.sun.net.ssl.
              KeyManagerFactory.getInstance("SunX509");
          kmf.init(keystore, KEYPW);

          com.sun.net.ssl.SSLContext sslc = com.sun.net.ssl.SSLContext.
              getInstance("SSLv3");
          tmf = com.sun.net.ssl.TrustManagerFactory.getInstance("sunx509");
          tmf.init(keystore);

          sslc.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);
          SSLServerSocketFactory ssf = sslc.getServerSocketFactory();
          SSLServerSocket ssocket = (SSLServerSocket) ssf.createServerSocket(port);
          ssocket.setNeedClientAuth(true);

但是当我在我的应用程序中使用它并尝试通过 Web 服务器连接到事务服务器时，它会出现以下异常

javax.net.ssl.SSLException: Connection has been shutdown: javax.net.ssl.SSLHands
hakeException: java.security.cert.CertificateException: Untrusted Server Certifi
cate Chain
        at com.sun.net.ssl.internal.ssl.SSLSocketImpl.checkEOF(SSLSocketImpl.jav
a:1172)
        at com.sun.net.ssl.internal.ssl.AppInputStream.read(AppInputStream.java:
65)
        at net.schubart.fixme.internal.MessageInput.readExactly(MessageInput.jav
a:166)
        at net.schubart.fixme.internal.MessageInput.readMessage(MessageInput.jav
a:78)
        at cc.aot.itsWeb.ClientWriterThread.run(ClientWriterThread.java:241)
        at java.lang.Thread.run(Thread.java:619)
Caused by: javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateEx
ception: Untrusted Server Certificate Chain
        at com.sun.net.ssl.internal.ssl.Alerts.getSSLException(Alerts.java:174)
        at com.sun.net.ssl.internal.ssl.SSLSocketImpl.fatal(SSLSocketImpl.java:1
520)
        at com.sun.net.ssl.internal.ssl.Handshaker.fatalSE(Handshaker.java:182)
        at com.sun.net.ssl.internal.ssl.Handshaker.fatalSE(Handshaker.java:176)
        at com.sun.net.ssl.internal.ssl.ClientHandshaker.serverCertificate(Clien
tHandshaker.java:975)
        at com.sun.net.ssl.internal.ssl.ClientHandshaker.processMessage(ClientHa
ndshaker.java:123)
        at com.sun.net.ssl.internal.ssl.Handshaker.processLoop(Handshaker.java:5
11)
        at com.sun.net.ssl.internal.ssl.Handshaker.process_record(Handshaker.jav
a:449)
        at com.sun.net.ssl.internal.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.j
ava:817)
        at com.sun.net.ssl.internal.ssl.SSLSocketImpl.performInitialHandshake(SS
LSocketImpl.java:1029)
        at com.sun.net.ssl.internal.ssl.SSLSocketImpl.writeRecord(SSLSocketImpl.
java:621)
        at com.sun.net.ssl.internal.ssl.AppOutputStream.write(AppOutputStream.ja
va:59)
        at java.io.OutputStream.write(OutputStream.java:58)

请问谁能告诉我问题出在哪里

4

3 回答 3

11

首先，避免com.sun.net.ssl直接使用包和类。JSSE 的体系结构是这样构建的，以便您可以在以后使用工厂并指定提供程序。使用javax.net.ssl.TrustManagerFactory(KeyManagerFactory和相同SSLContext) 代替。（我建议使用"PKIX"而不是"SunX509"信任管理器算法，因为它通常是 Sun 提供程序的默认设置，或者更好的是使用TrustManagerFactory.getDefaultAlgorithm()）。

其次，除非您使用客户端证书身份验证，否则您不需要在客户端设置密钥管理器。

最后（也许是最重要的），您需要导出您在服务器端生成的自签名证书（只有证书，而不是私钥）并将其导入您用作信任库的密钥库中客户端。

生成证书时，应确保使用CN=the.server.host.name.

keytool -genkey -keystore server-keystore.jks -alias server_alias \
        -dname "CN=the.server.host.name,OU=whateveryoulike" \
        -keyalg "RSA" -sigalg "SHA1withRSA" -keysize 2048 -validity 365

keytool -export -keystore server-keystore.jks -alias server_alias -file server.crt

keytool -import -keystore client-truststore.jks -file server.crt

如果要使用客户端证书认证，则需要重复操作，将 server-keystore 和 client-truststore 分别替换为 client-keystore 和 server-truststore。

在这种情况下，server-keystore.jks并且server-truststore.jks可能是同一个文件，但您不需要（在客户端相同）。

于 2010-09-26T12:25:35.407 回答
0

您需要做的就是 keytool -selfcert - alias XXX -validity DDD，其中 XXX 与以前的别名相同，DDD 是到期前的天数，对于服务器证书，然后导出该证书并导入到客户端的信任库中。为客户反向重复。您遗漏了导出/导入部分。

然而，大部分代码现在已经过时了。您不需要调用 addProvider()，并且可以在其余部分将 com.sun.net.ssl 更改为 javax.net.ssl。

于 2010-09-26T12:19:46.433 回答
0

要理解这一点，您必须了解证书的工作原理。

由于任何人都可以创建证书（就像您所做的那样），仅仅创建它是不够的 - 证书必须是可信的。仅当证书由另一个受信任的证书签名时，该证书才受信任。在信任“食物链”的顶部有几个主要的 CA，您可以向它们付费以使您的证书“公开信任”（您的计算机上安装了他们的证书）。

当然，您不必为了您的应用程序向 CA 付费，但您必须模仿这种行为。您可能需要做的是导出服务器/客户端公钥，并将其安装在某种受信任的存储中。

检查您的 API 如何允许您定义可信证书的位置。

于 2010-09-26T12:20:10.857 回答