在Java中使用同一主机使用多个SSL客户端证书

Question

在我的Java应用程序中，我需要使用SSL连接到同一主机，但每次都使用不同的证书。我需要使用其他证书的原因是，远程站点使用嵌入在证书中的用户ID属性来标识客户端。

这是一个在3个不同的操作系统上运行的服务器应用程序，我需要能够在不重新启动进程的情况下切换证书。

Answer 1

SSL可以向客户端提示要显示的证书。这 可能
使您可以使用一个具有多个身份的密钥存储，但是，不幸的是，大多数服务器不使用此提示功能。因此，如果您指定要用于每个连接的客户端证书，它将更加健壮。

这是SSLContext使用指定的身份和信任存储库设置示例代码。您可以重复这些步骤来创建多个上下文，每个要使用的客户端证书都需要一个上下文。每个人SSLContext都可能使用相同的信任库，但使用不同的身份库（包含要在该上下文中使用的单个客户端密钥条目）。

初始化一次所需的上下文，然后为每个连接重用正确的上下文。如果要建立多个连接，则可以利用SSL会话。

KeyManagerFactory kmf = 
  KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
kmf.init(identityStore, password);
TrustManagerFactory tmf =
  TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(trustStore);
SSLContext ctx = SSLContext.getInstance("TLS");
ctx.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);

稍后，您可以直接创建套接字：

SSLSocketFactory factory = ctx.getSocketFactory();
Socket socket = factory.createSocket(host, port);

或者，如果您使用的是URL类，则可以指定SSLSocketFactory发出HTTPS请求时要使用的：

HttpsURLConnection con = (HttpsURLConnection) url.openConnection();
con.setSSLSocketFactory(ctx.getSocketFactory());

Java 6有一些附加的API，可以根据您对密码套件等的喜好更轻松地配置套接字。