java - 查询 jvm truststore 和 jssecacerts 文件？

Question

我在两个不同的 tomcats t1 和 t2 上安装了两个 https web 应用程序 app1 和 app2(t1 和 t2 在不同的机器上)。在 app1 中时我与 app2 建立了 url 连接，但出现 SSL 握手错误。原因是我在 app2 中使用了不存在的自签名证书在 app1 jvm 信任库中。因此，正确的修复方法是在 JAVA-HOME/jre/lib/security 中安装自签名证书。要做的同样，我已按照 http://www.mkyong.com/webservices/jax-ws/suncertpathbuilderexception-unable-to-find-valid-certification-path-to-requested-target/ 给出的步骤进行操作.不同论坛建议采用相同的步骤。但是我仍然遇到相同的 SSL 握手错误

javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path   building failed: sun.security.
provider.certpath.SunCertPathBuilderException: unable to find valid certification path to   requested target
at com.sun.net.ssl.internal.ssl.Alerts.getSSLException(Unknown Source)

虽然我通过在 JVM trustore 中提到以下参数摆脱了这个 SSLHandshakeException。-Djavax.net.ssl.trustStore=C:.keystore-Djavax.net.ssl.trustStorePassword=changeit

我的问题是为什么第一种方法(这是正确的方法)，即将 jssecacerts 文件放在/lib/security 下不起作用？还有一点是第一种方法和第二种方法有什么不同？

Answer 1

Though it i got rid of this SSLHandshakeException by mentioning below parameters in JVM trustore. -Djavax.net.ssl.trustStore=C:.keystore -Djavax.net.ssl.trustStorePassword=changeit

不清楚您尝试使用这些选项做什么。您可以使用默认的信任库(通常为 jssecacerts, if it exists; otherwise, cacerts )，也可以指定您自己的信任库。 .keystore 倾向于用作 keystore ，而不是信任库(尽管没有默认的 JSSE 值)。 (顺便说一下，我还会指定完整路径而不是 C:.keystore。)

复制原始 cacerts(或 jssecacerts)文件可能更好(如果您更改了某些内容，请删除您放置的额外文件)并将您的远程证书添加到其中(即，如果需要，app1 副本中的 app2 证书和 app2 副本中的 app1 证书)。

您可以使用 keytool -list -keystore keystore.jks 列出证书(如果需要，请参阅帮助以获取更多选项)。

您可以使用 keytool -export -keystore server1-keystore.jks -alias server_alias -file server1.crt 导出证书。

然后，将其导入另一个信任库:keytool -import -keystore client2-truststore.jks -file server1.crt。 (这里，client2-truststore.jks 将是 cacerts 的副本。)然后，配置运行 Apache Tomcat(不一定是 Tomcat 连接器)的 JVM 以使用它。您应该能够在 catalina.sh (JAVA_OPTS=-D...) 中设置 JVM 参数。

编辑:

My question here is why first approach(which is proper approach) i.e putting the jssecacerts file under /lib/security is not working?

为了更直接地回答您的问题，我刚刚仔细检查了干净的 Oracle JRE 6 安装 (1.6.0_31)，jssecacerts 优先于 cacerts存在时(如 JSSE 引用指南中所述，因此似乎没有错误)。我不确定 Oracle 将 Andreas Sterbenz 的 Sun 博客移到了哪里，所以我不确定您使用的是 InstallCert 的哪个副本。我想我那里出了问题。

据我所知，InstallCert 连接到服务器以获取其证书(替换上面的导出步骤):您实际上假设您在第一次连接时获得的证书是正确的一个(并且可以信任)。您还可以获得该证书 using OpenSSL .但是，在您的情况下，您似乎可以控制两台服务器及其各自的 keystore ，因此您不妨使用 keytool -export 来确定。

Another point is what is different between first and second approach ?

第一种方法(更改 jssecacerts)为将使用此 JRE 安装的所有应用程序设置配置，而第二种方法将这些设置应用于仅运行 Apache Tomcat 的 JVM。

请注意，如果您没有 jssecacerts 而只有 cacerts 文件，如果您只将证书导入 jssecacerts， cacerts 将被忽略，因此您将无法连接到具有通常默认情况下受信任的 CA 颁发的证书的服务器。这就是为什么从默认文件的副本开始会很有用。 (此外，如果您的应用程序还连接到通常默认情况下受信任的其他站点，这也可以解释为什么这次您会在不同的地方收到此错误消息。)

最终，it's your responsiblity to check what's in jssecacerts or cacerts :

IMPORTANT NOTE: The JDK ships with a limited number of trusted root certificates in the /lib/security/cacerts file. As documented in keytool, it is your responsibility to maintain (that is, add/remove) the certificates contained in this file if you use this file as a truststore.

Depending on the certificate configuration of the servers you contact, you may need to add additional root certificate(s). Obtain the needed specific root certificate(s) from the appropriate vendor.