如何在 java SSL 客户端应用程序中支持多个 TrustStore

Question

在我们的 java 应用程序中，我们需要使用 https 协议与 SSL 上的服务器列表进行通信。要通信的服务器列表将在运行时更改。最初我们没有任何服务器的证书。在运行时，我们将获取新的服务器证书并将公钥证书添加到信任库中；并且与服务器的任何新 https 连接都应使用更新的信任存储。

我们认为应该使用两个信任存储，一个是 cacerts（默认一个与 jre 一起提供），另一个包含我们在列表中动态添加/删除的服务器的证书。这将确保我们不会修改 java.lang 的默认 TrustStore(cacerts)。

请建议如何实现这一目标。 另外，有没有一种方法可以仅对 java 中的特定线程使用特定的信任存储，以便其他（现有的和新的）线程仍应使用默认的 java trueststore(cacerts)，并且一个特定的线程将使用特定的信任存储服务器。

谢谢你， 迪帕克

Answer 1

如果您想动态导入证书，您可能需要使用自定义的x509TrustManager。这是在配置 SSLContext< 时完成的/code>，它本身用于创建 SSLSocketFactory 或 SSLEngine。

jSSLutils 是一个库，可让您包装现有的信任管理器并自定义某些设置。您不需要它，但它可能会有所帮助。

这将遵循以下原则：（

PKIXSSLContextFactory sslContextFactory = new PKIXSSLContextFactory();
sslContextFactory.setTrustManagerWrapper(new X509TrustManagerWrapper() {
    @Override
    public X509TrustManager wrapTrustManager(final X509TrustManager origManager) {
        return new X509TrustManager() { 
            @Override
            public X509Certificate[] getAcceptedIssuers() {
                return origManager.getAcceptedIssuers();
            }

            @Override
            public void checkServerTrusted(X509Certificate[] chain,
                                                   String authType)
                    throws CertificateException {
                try {
                    // This will call the default trust manager
                    // which will throw an exception if it doesn't know the certificate
                    origManager.checkServerTrusted(chain, authType);
                } catch (CertificateException e) {
                    // If it throws an exception, check what this exception is
                    // the server certificate is in chain[0], you could
                    // implement a callback to the user to accept/refuse
                }
            }

            @Override
            public void checkClientTrusted(X509Certificate[] chain,
                                                   String authType)
                    throws CertificateException {
                origManager.checkClientTrusted(chain, authType);
            }
        };
    }
});
SSLContext sslContext = sslContextFactory.buildSSLContext();

(PKIX)SSLContextFactory 和 X509TrustManagerWrapper 来自 jSSLutils，但其余部分可用于 J2SE/J2EE。）

有一些 < a href="http://download.oracle.com/javase/6/docs/api/java/security/cert/CertificateException.html" rel="noreferrer">CertificateExceptions 您可能想要捕获的（请参阅子类）。
如果您向用户进行回调，则 SSL/TLS 连接可能会因为 SSL/TLS 握手超时而第一次失败（如果回调需要很长时间才能回复）。

然后您可以使用 SSLContext.setSSLContext(...) （来自 Java 6）将此 SSLContext 作为默认值，但这不一定是个好主意。如果可以，请将 SSLContext 传递到建立 SSL/TLS 连接的库。完成此操作的方式各不相同，但例如 Apache HTTP Client 4.x 有多种选项来配置其 SSL 设置，其中之一是通过传递 KeyStore，另一个是通过传递 >SSLContext。

您还可以通过检查 X509TrustManager 中的当前线程来对每个线程而不是每个要连接的对象进行某些操作（依赖于库）：这可能会使事情在同步和信任管理器的线程管理/“意识”。

Answer 2

这个问题太老了，我怀疑我的观点会对任何人有所帮助，但这里...

如果你想解决OP的（原始海报）问题而不诉诸代码更改，你可以配置你的JVM（我只用Tomcat进行了测试）支持OP所需的配置：

1. 单独保留“打包”的JDK cacerts文件
2. 将您的证书导入到一个单独的文件中，并让您的JAVA应用程序“信任”它们

我过去只是将我的附加证书导入到一个单独的文件中，然后在我的文件中引用它使用参数 -Djavax.net.ssl.trustStore=$JAVA_HOME/jre/lib/security/jssecacerts 启动 JVM 取得了巨大成功，但我猜最近（某种程度上）JAVA 安全问题改变了自动包含与 SDK 一起分发的 cacerts 文件。

因此，我使用这篇文章和这些页面中的英特尔找到了一个漂亮的解决方案（进行了一些细微的更改）：

• http://www.coderanch.com/t/529157/Tomcat/Configure-Tomcat-trust-store-cacerts
• http://andyarismendi.blogspot.com/2012/01/changing-tomcats-ca-trust -keystore-file.html

我过去所做的：

• 将 JVM trustStore 参数设置为我单独的密钥库文件（我将向其中导入其他证书），如下所示

我现在所做的：

• 将 trustStore 参数设置为 '打包的 cacerts 文件
• 将 keyStore 参数设置为我的“附加证书”文件
• 将 keyStorePassword 参数设置为我的 keyStore 的密码（默认为 Changeit）

它看起来像什么：

-Djavax.net.ssl.trustStore=$JAVA_HOME/jre/lib/security/cacerts \
-Djavax.net.ssl.keyStore=$JAVA_HOME/jre/lib/security/jssecacerts \
-Djavax.net.ssl.keyStorePassword="changeit" \

希望这对某人有帮助。我并不是 100% 认为您需要指定 keyStore 密码，因为您没有使用 trustStore，但当您这样做时它就可以工作。