Làm cách nào để nhập chứng chỉ Java CA mới mà không sử dụng tiện ích dòng lệnh keytool?

Question

Tóm tắt điều hành: làm cách nào để cài đặt chứng chỉ gốc mới vào Java bằng mã Java?

Chúng tôi có ứng dụng dành cho máy tính để bàn truy cập các dịch vụ web khác nhau. Gần đây, một trong số họ đã chuyển chứng chỉ SSL của họ thành chứng chỉ do Trustwave ký. Trong khi các chứng chỉ Trustwave SSL được chấp nhận bởi các trình duyệt internet thường xuyên, Java dường như không đi kèm với chứng chỉ gốc điều kiện tiên quyết, và chúng tôi bị mất quyền truy cập vào các dịch vụ web nhất định với các thông báo lỗi sau:

javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target 

Chúng tôi đã nhận tạm thời reprieve bằng cách thuyết phục các nhà cung cấp để chuyển trở lại Verisign nhưng khi họ chuyển trở lại chúng ta phải sẵn sàng. Vì vậy, tôi cần phần mềm máy tính để bàn của chúng tôi để tự động cài đặt chứng chỉ gốc Trustwave khi cần thiết. Khách hàng của chúng tôi không đủ hiểu biết để sử dụng lệnh keytool và tôi không muốn viết kịch bản vì nó làm cho tôi trở thành một giải pháp dễ vỡ (triển khai riêng cho Mac và PC). , v.v.)

Tôi tưởng tượng keytool sử dụng Java trong nội bộ. Tôi có thể sử dụng lệnh nào trong Java để tái tạo chức năng của keytool và cài đặt chứng chỉ gốc theo chương trình?

Answer 1

Tôi không biết nếu điều đó là có thể, nhưng bạn có thể thực hiện TrustManager của riêng bạn để cho phép kết nối này hoặc CA này. Here là những điều cơ bản.

Answer 2

Nếu bạn muốn cài đặt chứng chỉ vào kho khóa gốc tin cậy trên máy tính để bàn, bạn sẽ cần quyền để thực hiện điều đó. Điều này tương tự với khóa công cụ , bạn cần có mật khẩu để truy cập kho khóa gốc tin cậy. Nếu bạn muốn trở thành nhanh chóng-n-bẩn, bạn có thể

• viết giấy chứng nhận vào một tập tin hoặc một dòng byte hoặc bất cứ điều gì
• nhập khẩu sử dụng KeyTool lớp (sun.security.tools.KeyTool)

Nhưng IMHO nếu chứng chỉ không hợp lệ, sau đó nó không đáng tin cậy. Tôi sẽ nói có một lý do chính đáng cho điều đó.

Answer 3

IMHO, Sun đã không tiếp xúc keytool qua API, chủ yếu để ngăn các nhà phát triển sửa đổi tập hợp các CA đáng tin cậy. Tôi rất có thể tưởng tượng những kẻ tấn công khai thác mã như vậy để chèn chứng chỉ gốc của riêng họ vào cửa hàng tin cậy làm ảnh hưởng đến mô hình rất của cửa hàng tin cậy.

Thực tế, nếu bạn nhìn vào nguồn của lớp KeyTool (gói sun.security.tools), không chỉ là cuối cùng, nó còn có một hàm tạo riêng ngăn cản bất kỳ người gọi nào tạo ra một thể hiện của lớp KeyTool từ mã. KeyTool không có một phương thức chính, làm cho dòng lệnh (và do đó một người dùng hệ điều hành) có thể là cách duy nhất mà người ta có thể khởi tạo và giao tiếp với KeyTool.

duy nhất (đơn giản) cách tiếp cận trái sẽ là:

• Khởi keytool như một quá trình từ các ứng dụng, và vượt qua đối số dòng lệnh để cài đặt chứng chỉ CA gốc. Điều này một mình là một ý tưởng tồi, và tôi sẽ khuyên bạn nên thông báo cho người dùng về những gì đang xảy ra.
• Tránh sử dụng keytool và thay vào đó cung cấp cho người dùng các hướng dẫn về cách cài đặt CA gốc bằng cách sử dụng Keyman hoặc KeyTool IUI. Nói cho bản thân mình chỉ ở đây, tôi thích cái sau.

Answer 4

Bạn luôn có thể gọi KeyTool là một quy trình Runtime.exec(...).

Answer 5

Command-line solution. Trên máy Mac, nhà Java là/Library/Java/Home. Hãy thử:

$ sudo -i 
# cd /Library/Java/Home 
# keytool -import -trustcacerts -alias CAName -file CA.crt -keystore lib/security/cacerts 

Thay thế CAName bằng tên CA của bạn và CA.crt bằng đường dẫn đến tệp chứng chỉ của bạn (PEM hoạt động). Nó sẽ nhắc nhập mật khẩu kho khóa. Mật khẩu mặc định được đưa ra trong bài viết được liên kết.

Tôi phải làm điều này cho một trong các chứng chỉ CA của RapidSSL.

Answer 6

Sun công bố mã này để tạo ra một phiên bản cập nhật của file cacerts của bạn dựa trên bất kỳ máy chủ mục tiêu di động https với bất kỳ Certs:

https://code.google.com/p/java-use-examples/source/browse/trunk/src/com/aw/ad/util/InstallCert.java

cacerts mới của bạn sẽ được đặt tên jssecacerts trong thư mục hiện hành. Chỉ cần sao chép tập tin mới trên tập tin jre/lib/security/cacerts của bạn.

Tôi không nhận xét gì về tính bảo mật của tệp cacerts mới của bạn.