Thực tiễn không tốt là sử dụng kho khóa tiêu chuẩn Java

Question

Chúng tôi đã sử dụng kho khóa tiêu chuẩn java ($JAVA_HOME/jre/lib/security/cacerts) làm cửa hàng đáng tin cậy cho tomcat. Và máy chủ tomcat đó sẽ liên lạc với một số máy chủ khác. Bản nâng cấp hệ điều hành gần đây (AIX) dường như đã ghi đè lên tệp $JAVA_HOME/jre/lib/security/cacerts và dẫn đến mất chứng chỉ và nhiều vấn đề với ứng dụng được lưu trữ trong tomcat.

Nhìn vào đây là một thực tế tồi để chuyển tiếp trên $ JAVA_HOME/jre/lib/security/cacerts? Cách thay thế (tốt hơn | tiêu chuẩn) để giải quyết tình huống này là gì?

Answer 1

Về những gì có trong tệp cacerts, thực tế không nhất thiết phải tồi tệ hơn là dựa vào chứng chỉ CA mặc định được cài đặt trong hệ điều hành hoặc trình duyệt của bạn, nhưng điều đó không có nghĩa là tuyệt vời.

Sun/Oracle có một chút "lưu ý quan trọng" đâu đó ở giữa các JSSE Reference Guide about this:

LƯU Ý QUAN TRỌNG: Các tàu với một số lượng hạn chế đáng tin cậy gốc giấy chứng nhận trong thư mục/lib/security JDK/tệp cacerts. Vì được ghi lại trong keytool, bạn có trách nhiệm duy trì (nghĩa là, thêm/xóa) các chứng chỉ có trong tệp này nếu bạn sử dụng tệp này làm cửa hàng ủy thác.

Tùy thuộc vào cấu hình chứng chỉ của máy chủ bạn liên hệ, bạn có thể cần phải thêm chứng chỉ gốc bổ sung. Nhận được chứng chỉ gốc cụ thể cần thiết từ nhà cung cấp thích hợp.

Về cấu hình, đối với các ứng dụng cụ thể mà tôi phải cài đặt chứng chỉ CA "cục bộ", tôi thấy ổn định hơn khi sử dụng cửa hàng ủy thác cục bộ (ví dụ: được chỉ định với javax.net.ssl.trustStore).

Answer 2

Không chắc chắn, nhưng giả sử giả định của bạn là chính xác, hãy thận trọng khi bạn đặt kho khóa của mình. Tôi mạnh mẽ đề nghị nó được đặt bên trong thư mục Apache.

Theo mặc định trong Websphere keystore hoạt động theo cách này, vì nó mang đến cho JVM riêng của nó :)

Answer 3

Đó không phải là một thực tế xấu nếu bạn có một quá trình xây dựng đó sẽ lặp lại hàng nhập khẩu.

Answer 4

Có thực tiễn không tốt để làm điều đó.

Cách tốt nhất là phải hạn chế các chứng chỉ tin cậy của bạn nhiều khi cần.
Vì vậy, bạn nên đã sử dụng kho khóa của riêng bạn chỉ với các chứng chỉ được ứng dụng của bạn tin cậy.

Answer 5

Bản nâng cấp AIX là bản vá. Mọi bản vá không được xóa/ghi đè dữ liệu người dùng. Tôi sẽ đề nghị người dùng bị ảnh hưởng bởi kiểu mất dữ liệu này yêu cầu IBM sửa chữa thủ tục vá lỗi. Trong khi đó, một bản vá của máy chủ httpd không ghi đè lên/xóa cấu hình mặc dù nó nằm trong thư mục chương trình.