ssl - 如何确定服务器将从客户端接受的 CA 证书列表？

Question

根据 https://wiki.jasig.org/display/CASUM/X.509+Certificates ,

After the Server sends the certificate that identifies itself, it then can then send a list of names of Certificate Authorities from which it is willing to accept certificates.

我想知道如何确定这个列表是什么，以及如何修改它。

我问的原因是，在成功验证后(即票证阶段)，我在服务器和客户端之间进行了无限重定向，我认为这与 CAS 服务器有关 not recognizing CAS 客户端的证书(客户端的证书是自签名的)。

Answer 1

如果你想看看这个列表是什么，你可以使用OpenSSL:

echo "" | openssl s_client -connect your.server:port

这将显示有关握手的各种消息，包括 CertificateRequest 消息中的证书和 CA 列表。

最终，它由事件 X509TrustManager 决定的 getAcceptedIssuers() 方法。默认情况下，这将是您所有信任 anchor 的主题 DN 列表(即，您的信任库中所有证书的主题 DN)。

您的客户端证书必须由服务器验证。这通常是在信任管理器握手期间完成的，信任管理器(除非经过调整)将在信任库中建立一个到已知 CA(或者至少是已知证书，如果它是用户证书本身)的链。

将您的自签名证书添加到您的信任库应该就足够了。它不一定是与 JVM 捆绑在一起的 cacerts 文件，您可以复制它并使用 Apache Tomcat 连接器的信任库设置来设置它。