Java客户端SSL套接字unknown_ca

Question

我希望能够连接到需要智能卡的个人证书进行身份验证的https站点。我想我已经很接近让它工作了，但不知道如何克服这个例外：

javax.net.ssl.SSLHandshakeException: Recieved fatal alert: unknown_ca

由于合同关系，我不能共享我的代码，但这里有一个总结：

我创建了一个密钥库，其中包含从浏览器导出的所有证书。我使用此密钥存储作为SSLContext的信任存储。我非常肯定这个密钥库包含正确的CA证书来验证远程站点的证书，因为它修复了“无法找到请求目标的有效证书路径”的异常。

我可以使用智能卡阅读器作为提供程序，以编程方式创建密钥存储库，类似于这里描述的技术：使用Java进行公共访问卡(CAC)身份验证。从智能卡创建的密钥库包含我的个人证书。当我使用它作为SSLContext的密钥库时，这将解决错误消息：“Received fatal Alert:Handshake_Failure”。

看来我越来越近了！但我最近看到的stacktrace是：

javax.net.ssl.SSLHandshakeException: Recieved fatal alert: unknown_ca

我添加了jvm标志-djavax.net.debug=ssl，我看到了很好的ssl调试信息，但不确定如何读取调试跟踪以确定哪个ca是未启用的？

一个问题：truststore keystore包含所有CA证书。但是，从智能卡创建的密钥库不包含任何CA证书（它只包含在智能卡上找到的个人证书）。也许我需要在密钥库中添加CA？

关于我可能缺少什么和/或如何解释ssl调试输出的其他建议/想法？

Answer 1

在从智能卡创建密钥库时，我似乎需要通过提供程序。

为了从智能卡创建密钥库，我创建了一个card.config文件，然后使用以下代码：使用Java的公共访问卡(CAC)身份验证：

Provider provider = new sun.security.pkcs11.SunPKCS11("card.config");
Security.addProvider(provider);

然后，我使用如下代码创建密钥库：

KeyStore ks = KeyStore.getInstance("PKCS11");

KeyStore ks = KeyStore.getInstance("PKCS11", provider);