java - 相互认证 (SSL) 设置 Java 堆栈(生产云)

Question

我想在 Tomcat 8 上设置相互认证。我已经完成了主要是 keystore 和信任库的 key 设置，并且该设置正在与经过测试的 Firefox 一起使用。访问 URL 时，系统会提示我提供证书，并在提供适当的证书后允许我访问。

我缺少的一 block 拼图是，我拥有的信任库具有 CA 证书和少数客户端的公钥。这个 CA 应该是一个自签名的 CA，而不是来自网络上已知的权威机构，因为。​​

1. I just do not want anybody to have access, people using my CA only should be able to access. Assuming say abc.com has certificate signed by authority godady or verisign, which are well known and trusted should not be able to call. I want strict access.
2. In my truststore I just want to keep CA no public keys, I do not want to keep adding certs as clients grow up. Clients would use my CA.

我认为我在信任库中的自签名 CA 和仅在链中使用我的 CA 的客户的证书应该足够安全(只有具有我的 CA 的客户)可扩展解决方案，我不必不断添加客户在信任库中。

请告知我的假设对于基于云的生产系统是正确的。

感谢抽空。

Answer 1

是的，你的假设是正确的。在 SSL 握手期间，服务器将要求客户端提供服务器信任库中存在的 CA 颁发的任何证书。此外，您还需要考虑客户端信任库应该有颁发服务器证书的 CA，否则它将在客户端/浏览器上显示不受信任的服务器证书。