java - Java WebApp 中的 CAC 身份验证

Question

我看到在 stackoverflow 上还有一些其他的 Java 和 CAC 帖子。我是所有这些东西的初学者，我仍在尝试在我的脑海中形成一个关于做什么和去哪里的框架。

我在一家大型组织工作，该组织使用带 Windows 7 机器的 CAC 来验证想要进入其 PC 的用户。他们将 CAC 插入键盘并输入 PIN。

我的老板想改变我们的 Java Webap，这样如果用户的计算机中有 CAC，它就不会让用户进行身份验证。如果没有，他们将通过传统的 LDAP 登录。

我们使用的是 WebLogic 11g 和 Java 6。

通过谷歌搜索，似乎有两种方法:

1. 实现小程序以读取用户的 CAC 并将 SSL 证书发送到网络应用。

2. 在web服务器中实现“相互SSL认证”，使浏览器将CAC上的SSL证书发送给webapp

我对我的选择是否有正确的评估？

哪种解决方案更简单？

从长远来看，哪个麻烦更少、更稳健？

我对 SSL 几乎一无所知，这似乎在两种解决方案中都很常见。我发现了一些关于抽象概念的 SSL 教程。谁能为我想做的事情推荐一个好的教程？

非常感谢您提供任何信息或提示

史蒂夫

Answer 1

1. Implement an applet to read the user's CAC and send an SSL certificate to the webapp.

2. Implement "mutually SSL authentication" in the web server, which will cause the browser to send the SSL certificate on the CAC to the webapp

你会想做#2。您真的不想搞乱智能卡硬件/软件。让操作系统完成所有这些工作。

我已在 IIS 上完成此操作，但一般而言，要实现此操作，您需要将 Web 服务器配置为需要客户端证书并信任 DoD CA。您可能需要配置 Web 服务器以向客户端通告它信任哪些 CA。如果 Win7 客户端具有由您信任的 CA 签名的客户端证书，客户端将尝试使用它。如果是智能卡证书，Windows 会自动提示用户输入 PIN；你不必担心。如果用户键入正确的 pin，证书将被发送到您的 Web 服务器，然后服务器应该能够通过 CA 验证证书。如果它是有效证书，您的软件随后可以解析证书中的字段并使用这些值来帮助验证用户(即，尽管拥有有效证书，用户是否实际上被允许根据他们的姓名/电子邮件地址登录/ETC)。如何从那里处理它取决于您。

如果您忘记了用户正在使用智能卡或 CAC，并且只是从您将要使用客户端证书进行身份验证的想法开始，您将更容易弄清楚这一点并查找信息 。首先创建一个自签名的 CA 测试证书。然后为您的网络服务器创建一个服务器证书和一个由您的测试 CA 签名的客户端证书。在客户端和服务器上将测试 CA 证书添加为受信任的根证书。然后尝试编写一个使用客户端证书对您的网络服务器进行身份验证的小型测试应用程序。完成这项工作后，您可以添加 DoD CA 并尝试从 CaC 证书中提取信息。

祝你好运!