我如何检索不受信任的SSL服务器证书以进行审核和信任？

Question

我的问题：

我想连接到可能使用Java默认情况下不信任的证书的服务器（不限于HTTPS协议-可以是LDAP-over-
SSL，可以是SMTPS，可以是IMAPS等）。自签名）。

所需的工作流程是尝试连接，检索证书信息，将其提供给用户，如果他接受了，则将其添加到信任库中，以便将来继续受信任。

我被困于获取证书。我有从这里以及关于Java
SSL问题的答案所指向的站点编写的代码（请参阅文章末尾）。该代码仅创建一个SSLSocket，开始SSL握手，然后向SSL会话询问Certificate[]。当我使用已经可以信任的证书连接到服务器时，代码可以正常工作。但是，当我使用自签名证书连接到服务器时，会得到通常的结果：

Exception in thread "main" javax.net.ssl.SSLHandshakeException: 
   sun.security.validator.ValidatorException: PKIX path building failed:
   sun.security.provider.certpath.SunCertPathBuilderException: unable to 
   find valid certification path to requested target
        at sun.security.ssl.Alerts.getSSLException(Unknown Source)
        at sun.security.ssl.SSLSocketImpl.fatal(Unknown Source)
        at sun.security.ssl.Handshaker.fatalSE(Unknown Source)
        at sun.security.ssl.Handshaker.fatalSE(Unknown Source)
        at sun.security.ssl.ClientHandshaker.serverCertificate(Unknown Source)
        [etc]

如果我与一起运行，-Djavax.net.debug=all我会看到JVM确实检索了自签名证书，但在返回证书之前将破坏使用不可信证书的连接。

好像是鸡和鸡蛋的问题。它不会让我看到证书，因为它们不受信任。但是我需要查看证书才能将其添加到信任库中，以便它们将被信任。你如何打破这个？

例如，如果我以以下方式运行程序：

java SSLTest www.google.com 443

我得到了Google正在使用的证书的打印输出。但是如果我以

java SSLTest my.imap.server 993

我得到上面引用的异常。

代码：

import java.io.InputStream;
import java.io.OutputStream;
import java.security.cert.*;
import javax.net.SocketFactory;
import javax.net.ssl.*;

public class SSLTest
{
    public static void main(String[] args) throws Exception {
        if (args.length != 2) {
            System.err.println("Usage: SSLTest host port");
            return;
        }

        String host = args[0];
        int port = Integer.parseInt(args[1]);

        SocketFactory factory = SSLSocketFactory.getDefault();
        SSLSocket socket = (SSLSocket) factory.createSocket(host, port);

        socket.startHandshake();

        Certificate[] certs = socket.getSession().getPeerCertificates();

        System.out.println("Certs retrieved: " + certs.length);
        for (Certificate cert : certs) {
            System.out.println("Certificate is: " + cert);
            if(cert instanceof X509Certificate) {
                try {
                    ( (X509Certificate) cert).checkValidity();
                    System.out.println("Certificate is active for current date");
                } catch(CertificateExpiredException cee) {
                    System.out.println("Certificate is expired");
                }
            }
        }
    }
}

Answer 1

请参阅Andreas
Sterbenz的InstallCert实用程序的副本
。