spring boot：单向SSL强制客户端密钥存储配置

Question

让我以Java安全不是我精通的一个领域作为前言。

我有许多通过REST调用进行通信的spring boot服务。当我配置为使用SSL/HTTPS时，我需要为各种证书文件和相关信息提供访问和配置。目前，我们只做单向验证。双向核查可能会在稍后时间进行。

我对单向验证如何工作的理解是，客户端可以访问信任存储区，该存储区包含关于它将与之交互的任何服务器的公钥信息。一个给定的服务器将有一个包含其密钥信息的密钥存储（我假设同时是公共的和私有的）。当客户端尝试调用服务器时，两者之间会交换一些关键信息，客户端会验证服务器的关键信息是否包含在其信任存储中。如果是这样，一切都是好的，进程继续进行。如果不是，则拒绝呼叫。我还认为客户机不需要密钥存储信息，因为它不会被任何东西调用。

当我将服务配置为使用SSL时，我需要设置许多SSL属性，如下所示：

server:
  port: <some port>
  ssl:
    enabled: true
    protocol: TLS
    trust-store-type: JKS
    trust-store: classpath:server.truststore
    trust-store-password: <password>
    key-store-type: JKS
    key-store: classpath:server.keystore
    key-store-password: <password>
    key-alias: <alias>

上面是一个服务器服务的示例。我认为，一个从不调用任何其他东西的“服务器”服务不需要信任存储信息。

对于一个从未被任何东西调用的客户端服务，我认为我应该能够省略密钥存储相关的信息。如下所示：

server:
  port: <some port>
  ssl:
    enabled: true
    protocol: TLS
    trust-store-type: JKS
    trust-store: classpath:server.truststore
    trust-store-password: <password>

显然它需要信任存储信息，但我认为不应该需要任何密钥存储信息，因为它不需要。

但是，我不允许这样做。如果我试图省略密钥存储属性，应用程序将失败，抱怨它无法加载密钥存储'null'。如果启用SSL，spring boot应用程序的启动过程似乎需要指定密钥存储属性，而不管是否需要它。

有办法解决这个问题吗？

Answer 1

一种方式ssl与spring boot应用作为消费者，例如一个REST服务消费者，只需要建立信任存储，不需要根据PKI基础设施的密钥存储。但是，如果您选择使用application.properties来指定信任存储，那么您还必须指定密钥存储，这有点奇怪，但是如果您可以使用以下两段代码在代码中指定信任存储，则可以解决此问题

System.setProperty("javax.net.ssl.trustStore", new File("YourTrustStore.jks").getAbsolutePath() );

使用keytool创建信任存储区

keytool -keystore YourTrustStore.jks -alias MyCA -import -file C:/temp/ca.cer