在ssl握手中如何正确地在JKS中拾取证书

Question

假设我有一个JAVA客户端应用程序，它试图通过https连接到服务器（example.com）。客户端应用程序有一个信任存储JKS，它有服务器的证书和其他一些证书。在服务器将其证书发送到此客户端应用程序的握手过程中，如何从信任存储jks中提取正确的证书。i、 基于什么参数，java将服务器发送的证书与存储在JKS中的证书相匹配。

Answer 1

匹配由证书的主题完成。

例如，如果您浏览https://www.google.com/并查看其证书，它会显示一个证书链，其中包含：

主题：

^{*实际使用openssl s_client-connect www.google获得。com:443-showcerts}

如果您的信任库中有任何证书，则该证书将被信任。

您可以这样扫描信任库（假设您有grep）：

keytool -list -keystore /path/to/cacerts -storepass changeit -v | grep "CN=GeoTrust Global CA" -B 4 -A 8

要获得这种输出：

Alias name: geotrustglobalca
Creation date: Jul 18, 2003
Entry type: trustedCertEntry

Owner: CN=GeoTrust Global CA, O=GeoTrust Inc., C=US
Issuer: CN=GeoTrust Global CA, O=GeoTrust Inc., C=US
Serial number: 23456
Valid from: Tue May 21 00:00:00 EDT 2002 until: Sat May 21 00:00:00 EDT 2022
Certificate fingerprints:
         MD5:  F7:75:AB:29:FB:51:4E:B7:77:5E:FF:05:3C:99:8E:F5
         SHA1: DE:28:F4:A4:FF:E5:B9:2F:A3:C5:03:D1:A3:49:A7:F9:96:2A:82:12
         SHA256: FF:85:6A:2D:25:1D:CD:88:D3:66:56:F4:50:12:67:98:CF:AB:AA:DE:40:79:9C:72:2D:E4:D2:B5:DB:36:A7:3A
         Signature algorithm name: SHA1withRSA
         Version: 3