19

可以说我有这样的东西（客户端代码）：

TrustManager[] trustAllCerts = new TrustManager[]{
    new X509TrustManager() {

        @Override
        public java.security.cert.X509Certificate[] getAcceptedIssuers() {
            return null;
        }

        @Override
        public void checkClientTrusted(
                java.security.cert.X509Certificate[] certs, String authType) {
        }

        @Override
        public void checkServerTrusted(
                java.security.cert.X509Certificate[] certs, String authType) {
        }
    }
};

SSLContext sslc = SSLContext.getInstance("TLS");
sslc.init(null, trustAllCerts, null);

SocketFactory sf = sslc.getSocketFactory();
SSLSocket s = (SSLSocket) sf.createSocket("127.0.0.1", 9124);

这段代码功能齐全，但我真的不知道如何根据我在 pem 文件中可用的一个具体 CA 证书来验证服务器的证书。

所有证书都由我的自签名 CA 签名，这是我需要验证的 CA（仅针对这个）。

每一个答案都值得赞赏。

编辑：

作为对jglouie的回应（非常感谢你——不能投票赞成你的答案）。

我建立了解决方案：

new X509TrustManager() {

        @Override
        public java.security.cert.X509Certificate[] getAcceptedIssuers() {
            return null;
        }

        @Override
        public void checkClientTrusted(
                java.security.cert.X509Certificate[] certs, String authType) {
        }

        @Override
        public void checkServerTrusted(
                java.security.cert.X509Certificate[] certs, String authType)
                throws CertificateException {
            InputStream inStream = null;
            try {
                // Loading the CA cert
                URL u = getClass().getResource("tcp/cacert.pem");
                inStream = new FileInputStream(u.getFile());
                CertificateFactory cf = CertificateFactory.getInstance("X.509");
                X509Certificate ca = (X509Certificate) cf.generateCertificate(inStream);
                inStream.close();

                for (X509Certificate cert : certs) {
                    // Verifing by public key
                    cert.verify(ca.getPublicKey());
                }
            } catch (Exception ex) {
                Logger.getLogger(Client.class.getName()).log(Level.SEVERE, null, ex);
            } finally {
                try {
                    inStream.close();
                } catch (IOException ex) {
                    Logger.getLogger(Client.class.getName()).log(Level.SEVERE, null, ex);
                }
            }

        }
    }
};
4

3 回答 3

24

我假设您的 CA 的自签名证书已经加载如下： 

CertificateFactory cf = CertificateFactory.getInstance("X.509");   
FileInputStream finStream = new FileInputStream("CACertificate.pem"); 
X509Certificate caCertificate = (X509Certificate)cf.generateCertificate(finStream);

然后在检查证书的方法中： 

@Override        
 public void checkServerTrusted(java.security.cert.X509Certificate[] certs, String authType)  throws CertificateException {

 if (certs == null || certs.length == 0) {  
      throw new IllegalArgumentException("null or zero-length certificate chain");  
 }  

 if (authType == null || authType.length() == 0) {  
            throw new IllegalArgumentException("null or zero-length authentication type");  
  }  

   //Check if certificate send is your CA's
    if(!certs[0].equals(caCertificate)){
         try
         {   //Not your CA's. Check if it has been signed by your CA
             certs[0].verify(caCertificate.getPublicKey())
         }
         catch(Exception e){   
              throw new CertificateException("Certificate not trusted",e);
         }
    }
    //If we end here certificate is trusted. Check if it has expired.  
     try{
          certs[0].checkValidity();
      }
      catch(Exception e){
            throw new CertificateException("Certificate not trusted. It has expired",e);
      }  
}

免责声明：甚至没有尝试编译代码

于 2011-07-08T21:17:32.260 回答
6

接受的答案是非常不正确的。它不会以加密方式验证服务器证书和受信任的证书颁发机构之间的任何连接。一般来说，您几乎不需要实现自己的 TrustManager，这样做非常危险。

正如 EJP 所说，无需实现您自己的 TrustManager，您可以使用默认的，并确保已将受信任的 CA 证书添加到您的默认 TrustStore。有关更多信息，请参阅此问题。

看一下 JDK 中的CertPathValidator类，它验证从服务器自己的证书到可信 CA 的连续信任链。有关证书链验证的介绍，请参阅Oracle 的文档。

于 2017-10-21T02:31:15.530 回答
-3

此代码功能齐全

这段代码完全不正常。它是完全不安全的，甚至不符合自己的规范。很少需要提供您自己的 TrustManager，默认的信任管理器非常好用。

您需要做的就是确保您拥有的 CA 证书存在于您的信任库中，然后将系统属性设置javax.net.ssl.trustStore为指向它（如果它不是默认的 Java 信任库文件）。System.setProperty()如果您不通过命令行 -D 选项进行设置，则根本不需要编写任何代码。

编辑您的“解决方案”通常不会起作用。它假定链中的每个证书都由您的证书签名。这仅适用于长度为 1 的链，如果签名证书 = 您的证书，则长度为 2。

于 2011-07-10T04:31:10.163 回答