spring boot https使用有效的证书get ERR_SSL_VERSION_OR_CIPHER_MISMATCH，自签名工作良好

Question

我从IT部门拿到了有效的证书。

我使用it_cert.cer生成了一个tomcat keystore.jks文件

keytool -keystore tomcat-keystore.jks -storepass password -import -alias "tomcat" -file it_issued_cert.cer

配置my Application.yml以打开SSL

server:
  context-path: /uaa
  port: 9999
  ssl:
      enabled: true
      key-store: classpath:tomcat-keystore.jks
      key-store-password: password
      key-password: password
      enabled-protocols: TLSv1.2 # make sure only to use the latest TLS version

Signature algorithm name: SHA256withRSA

当我在HTTPS端口上使用chrome时，浏览器不再发出“不受信任”的警告。

但现在有一个ERR_SSL_VERSION_OR_CIPHER_MISMATCH从Chrome和IE11声明我可能使用RC4加密...

我尝试指定低于TLSV1.2的非安全协议，并采用默认值。但它们都会导致相同的错误。

我的结论是我配置证书的方式导致了这个错误，还是我it部门的签名算法导致了这个错误？

Answer 1

几乎被欺骗的Java SSLHandShakeException：没有共同的密码套件

HTTPS服务器需要私钥和匹配的证书，根据证书的颁发方式，服务器可能还需要一个“链”或“中间”证书（偶尔还需要一个以上的证书）。您只导入了一个证书，这是不够的。

首先查看您的文件it_issued_cert.cer是否为PEM格式：它是否包含分组为行的所有可读字符，其中至少有一个以行
-----begin sometype_in_caps---
开头的块，然后有一些行完全由字母、数字、加号+和斜杠/组成，最后可能是等于=；最后是一行
-----end same_type---？

如果PEM和至少有两个块，其中一个具有类型[RSADSAECENCRYPTED]PRIVATE key，另一个具有类型[X.509Maybesomethingelse]certifice，则可以使用OpenSSL转换为PKCS12，然后使用keytool转换为JKS。首先检查是否需要任何“链”或“中间”证书：如果文件已经包含多个证书，并且不是由一个完全的傻瓜准备的，这些多个证书形成了所需的chai，只需继续。如果文件只包含一个证书，请使用OpenSSL X509-in$file-noout-subject-issuer确保主题是您的服务器并查看颁发者；如果颁发者是在您的环境中受信任的CA（如“我的公司CA”），只需继续。否则，询问它是否需要任何链证书，以PEM格式获取它们，并将它们添加到文件中。然后执行：

openssl pkcs12 -export -in $file -out new.p12 -friendlyname alias_you_want

（编辑）Java自8U60(2015年--甚至在我写原始答案之前）默认接受PKCS12密钥库，如果配置了，早期版本也可以这样做。对于需要JKS的早期版本，请执行（如aszahran所评论的拼写更正）：

keytool -importkeystore -srckeystore new.p12 -srcstoretype pkcs12 -destkeystore new.jks 
# on Java versions that need JKS, it is the default type
# but can specify -deststoretype jks if you want

如果文件是PEM,但只有一个块具有类型证书,或者如果文件根本不是PEM,则该证书必须是根据来自某人的CSR（证书签名请求）颁发的：

如果你给了他们CSR，请详细说明（编辑你的问题）你是如何和在哪里生成CSR的。这就是privatekey所在的位置，您需要使用该密钥，创建它的副本，或者转换（并复制）它，这取决于您所做的操作。

如果你没有给他们CSR，问他们是从哪里得到的。如果他们自己生成了密钥和CSR，请向他们索取PEM格式的密钥。如果他们从其他人那里得到CSR，请向其他人索取PEM格式的密钥。一旦获得它，将其添加到文件中，然后返回到上面的大小写。如果他们坚持给你PEM格式以外的东西，给出细节。