Meine Anwendung verfügt über einen persönlichen Schlüsselspeicher, der vertrauenswürdige selbstsignierte Zertifikate für die Verwendung im lokalen Netzwerk enthält - sagen wir mykeystore.jks . Ich möchte in der Lage sein, eine Verbindung zu öffentlichen Sites (z. B. google.com) sowie zu denen in meinem lokalen Netzwerk herzustellen, die selbst signierte Zertifikate verwenden, die lokal bereitgestellt wurden.
Das Problem hierbei ist, dass beim Erstellen einer Verbindung mit Ссылка der Pfadaufbau fehlschlägt, da das Festlegen eines eigenen Schlüsselspeichers den Standard-Keystore überschreibt, der die gebündelten Stammzertifizierungsstellen enthält mit der JRE, meldet die Ausnahme
%Vor% Wenn ich jedoch ein CA-Zertifikat in meinen eigenen Keystore ( mykeystore.jks ) importiere, funktioniert es einwandfrei. Gibt es eine Möglichkeit, beides zu unterstützen?
Ich habe zu diesem Zweck meinen eigenen TrustManger,
%Vor%Ich initialisiere dann den SSLContext, TrustManager [] trustManagers = neuer TrustManager [] {neuer CustomX509TrustManager (Schlüsselspeicher)}; SSLContext customSSLContext = SSLContext.getInstance ("TLS"); customSSLContext.init (null, trustManagers, null);
und stellen Sie die Socket-Factory ein,
%Vor%Das Hauptprogramm,
%Vor%Wenn ich keine eigenen Vertrauensmanager einstelle, wird eine Verbindung zu Ссылка hergestellt. Wie bekomme ich einen "Standard Trust Manager", der auf den Standardschlüsselspeicher verweist?
In trustMgrFactory.init(keystore); konfigurieren Sie defaultTrustManager mit Ihrem eigenen persönlichen Keystore, nicht mit dem standardmäßigen Keystore des Systems.
Nach dem Lesen des Quellcodes für sun.security.ssl.TrustManagerFactoryImpl sieht es so aus, als würde trustMgrFactory.init((KeyStore) null); genau das tun, was Sie brauchen (Laden Sie den Standard-Keystore des Systems), und auf der Grundlage schneller Tests scheint es für mich zu funktionieren .
Die Antwort hier ist, wie ich dazu kam zu verstehen, wie man das macht. Wenn Sie nur die System-CA-Zertifikate und einen benutzerdefinierten Keystore von Zertifikaten akzeptieren möchten, habe ich sie mit einigen Komfortmethoden in einer einzigen Klasse vereinfacht. Der vollständige Code ist hier verfügbar:
%Vor%Ich bin auf das gleiche Problem mit Commons HttpClient gestoßen. Die Arbeitslösung für meinen Fall bestand darin, die Delegierungskette für PKIX TrustManager folgendermaßen zu erstellen:
%Vor%Und initialisiere HttpClient auf folgende Weise (ja, es ist hässlich):
%Vor%In Ihrem Fall mit der einfachen HttpsURLConnection können Sie mit der vereinfachten Version der delegierenden Klasse umgehen:
%Vor%