带有SSL和自签名证书的ActiveMQ；不包含适当证书的客户端能够连接到代理

Question

我有一些通过ActiveMQ和几个Java客户机使用SSL/TLS的自签名证书。代理keystore包含根证书，代理truststore包含客户端的公钥。客户机密钥库包含绑定到PKCS12文件中的客户机公钥和私钥（按密钥库的要求），客户机信任库包含根证书

现在，这个配置工作得很好。我的问题是，即使使用不匹配的客户端证书和密钥，它也能正常工作，但在代理和客户端保留相同的根证书。只有当我使用不匹配的根证书时，代理-客户端连接才会失败。我想知道为什么会发生这种情况，以及修复方法是什么，这样，使用公钥不在代理信任库中的任意随机密钥对的客户端就不能连接到代理。

附言。：这是在ActiveMQ版本5.13.0和TLS版本1.2上

Answer 1

它在wiki中:https://cwiki.apache.org/confluence/display/activemq/how+do+i+use+ssl

您需要在服务器端TransportConnector中添加NeedClientAuth=true:

<broker>
  ...
  <transportConnectors>
    <transportConnector name="ssl" uri="ssl://0.0.0.0:61616?needClientAuth=true"/>  
  </<transportConnectors>

要求客户端身份验证不是标准设置。通常，SSL传输只使用服务器证书设置，客户端使用用户名/密码身份验证。

客户端身份验证不提供任何额外的加密。它是用户名/密码的另一种选择，但需要更高的维护：证书续订等。