在Java中使用自定义信任库和默认信任库

Question

我正在Java写一个应用程序，它通过HTTPS连接到两个web服务器。其中一个通过默认信任链获得信任证书，另一个使用自签名证书。当然，连接到第一个服务器是开箱即用的，而使用自签名证书连接到服务器则是不起作用的，直到我使用该服务器的证书创建了信任存储区。然而，到默认受信任服务器的连接不再起作用，因为显然，在创建了自己的信任存储区之后，默认信任存储区将被忽略。

我发现的一个解决方案是将默认信任库中的证书添加到我自己的信任库中。但是，我不喜欢这个解决方案，因为它要求我不断管理那个信任库。（我不能假设这些证书在可预见的未来保持静止，对吧？）

除此之外，我还发现了两个5年前的线程存在类似的问题：

在JVM中注册多个密钥库

如何为一台Java服务器拥有多个SSL证书

它们都深入到Java SSL基础设施中。我希望现在有一个更方便的解决方案，我可以在对代码进行安全检查时轻松地解释。

Answer 1

您可以使用类似于我在前面的回答中提到的模式（针对不同的问题）。

本质上，获取默认信任管理器，创建第二个使用您自己的信任存储的信任管理器。将它们都包装在一个自定义信任管理器实现中，该实现将调用委托给这两个托管管理器（当一个托管管理器失败时，返回到另一个托管管理器）。

TrustManagerFactory tmf = TrustManagerFactory
    .getInstance(TrustManagerFactory.getDefaultAlgorithm());
// Using null here initialises the TMF with the default trust store.
tmf.init((KeyStore) null);

// Get hold of the default trust manager
X509TrustManager defaultTm = null;
for (TrustManager tm : tmf.getTrustManagers()) {
    if (tm instanceof X509TrustManager) {
        defaultTm = (X509TrustManager) tm;
        break;
    }
}

FileInputStream myKeys = new FileInputStream("truststore.jks");

// Do the same with your trust store this time
// Adapt how you load the keystore to your needs
KeyStore myTrustStore = KeyStore.getInstance(KeyStore.getDefaultType());
myTrustStore.load(myKeys, "password".toCharArray());

myKeys.close();

tmf = TrustManagerFactory
    .getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(myTrustStore);

// Get hold of the default trust manager
X509TrustManager myTm = null;
for (TrustManager tm : tmf.getTrustManagers()) {
    if (tm instanceof X509TrustManager) {
        myTm = (X509TrustManager) tm;
        break;
    }
}

// Wrap it in your own class.
final X509TrustManager finalDefaultTm = defaultTm;
final X509TrustManager finalMyTm = myTm;
X509TrustManager customTm = new X509TrustManager() {
    @Override
    public X509Certificate[] getAcceptedIssuers() {
        // If you're planning to use client-cert auth,
        // merge results from "defaultTm" and "myTm".
        return finalDefaultTm.getAcceptedIssuers();
    }

    @Override
    public void checkServerTrusted(X509Certificate[] chain,
            String authType) throws CertificateException {
        try {
            finalMyTm.checkServerTrusted(chain, authType);
        } catch (CertificateException e) {
            // This will throw another CertificateException if this fails too.
            finalDefaultTm.checkServerTrusted(chain, authType);
        }
    }

    @Override
    public void checkClientTrusted(X509Certificate[] chain,
            String authType) throws CertificateException {
        // If you're planning to use client-cert auth,
        // do the same as checking the server.
        finalDefaultTm.checkClientTrusted(chain, authType);
    }
};


SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, new TrustManager[] { customTm }, null);

// You don't have to set this as the default context,
// it depends on the library you're using.
SSLContext.setDefault(sslContext);

您不必将该上下文设置为默认上下文。如何使用它取决于您正在使用的客户机库（以及它的套接字工厂从哪里获得）。

话虽如此，但原则上，无论如何，您都必须根据需要更新信任库。《Java 7JSSE参考指南》对此有一个“重要注释”，现在在该指南的第8版中降级为一个“注释”：

JDK在Java-home/lib/security/cacerts文件中附带了数量有限的受信任根证书。如keytool参考页面中所述，如果您将该文件用作信任库，则您有责任维护（即添加和删除）该文件中包含的证书。

根据您联系的服务器的证书配置，您可能需要添加其他根证书。从相应的供应商获取所需的特定根证书。