如何信任我自己签名的证书

Question

我想通过SSL连接到我的服务器。因此,我使用以下命令在服务器上生成证书：

openssl genrsa -out server.pem 2048
openssl req -new -x509 -nodes -sha1 -days 3650 -key server.pem > server.cert

如果我使用如下所示的TrustManager信任客户端上的所有证书，则连接可以正常工作：

X509TrustManager tm = new X509TrustManager() {

    @Override
    public java.security.cert.X509Certificate[] getAcceptedIssuers() {
        return null;
    }

    @Override
    public void checkClientTrusted(
            X509Certificate[] certs, String authType) {
    }

    @Override
    public void checkServerTrusted(
            X509Certificate[] certs, String authType) {
    }
};

但我当然不想相信所有的证书，而只相信我的证书。我尝试了以下几个命令来导入证书：

keytool -import -alias ca -file server.cert -keystore cacerts

javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

我要怎么做才能让它正常工作？有人能解释一下对一个不是很熟悉cryto领域的人所必需的步骤吗？

编辑：正如Donal Fellows所建议的那样，我尝试了自定义X509TrustManager的方法，它起作用了。但这样安全吗？如果我在“getAcceptedissuers”方法中返回“null”，它也起作用，我不太清楚为什么：

X509TrustManager tm = new X509TrustManager() {

    @Override
    public java.security.cert.X509Certificate[] getAcceptedIssuers() {

        X509Certificate[] trustedCerts = new X509Certificate[1];
        try{
            InputStream inStream = new FileInputStream("server.cert");
            CertificateFactory cf = CertificateFactory.getInstance("X.509");
            X509Certificate cert = (X509Certificate)cf.generateCertificate(inStream);
            inStream.close();
            trustedCerts[0] = cert;
        }catch(Exception e){
            e.printStackTrace();
        }

        return trustedCerts;
    }

    @Override
    public void checkClientTrusted(
            X509Certificate[] certs, String authType) {
    }

    @Override
    public void checkServerTrusted(X509Certificate[] chain,
            String authType) throws CertificateException {

        boolean match = false;
        try{


            InputStream inStream = new FileInputStream("server.cert");
            CertificateFactory cf = CertificateFactory.getInstance("X.509");
            X509Certificate cert = (X509Certificate)cf.generateCertificate(inStream);
            inStream.close();

            for(X509Certificate c : chain){
                if(c.equals(cert)){
                    match = true;
                }
            }
        }catch(Exception e){
            throw new CertificateException();
        }

        if(!match)
            throw new CertificateException();

    }

};

Answer 1

如果您真的要锁定内容，可以通过安装自定义X509TrustManager来实现，该自定义X509TrustManager测试所使用的证书是否与您认为它应该是的证书（您可以肯定地知道，您已经生成了它）。这实际上是相当安全的，但不允许任何操作灵活性；如果服务器受到威胁，您必须重新生成密钥，那么所有客户端也将需要更新。

因为这真的很烦人（而且不能扩展到像WWW这样的东西），所以使用trust root更正常。信任根是一个自签名的CA证书，通常具有较长的寿命，用于对部署到服务器的工作证书进行签名。（您可以使用CA证书本身，但通常最好保持脱机状态，可能是在防火保险箱中的可移动介质上。）然后您将CA证书放入客户机上的信任存储库（即，一个只保存证书的密钥存储库）中，并告诉Java使用它。

实际上，你就快到了。您可能只需要告诉Java使用cacerts信任库。您可以通过设置正确的system属性来做到这一点。

// Be careful on Windows; this property (unusually!) uses “/” instead of “\”
System.setProperty("javax.net.ssl.trustStore", "/path/to/cacerts");