向现有JK添加其他证书或不使用javax.net.ssl.TrustStore进行请求

Question

在大量搜索如何使用SSL/TLS连接到mongodb之后，我发现必须将证书添加到java keystore，并在spring应用程序中使用它们，如下所示。

System.setProperty("javax.net.ssl.trustStore","/path/truststore.jks");
System.setProperty("javax.net.ssl.trustStorePassword", "apass");
System.setProperty("javax.net.ssl.keyStore", "/path/keystore.jks");
System.setProperty("javax.net.ssl.keyStorePassword", "apass");
System.setProperty("javax.security.auth.useSubjectCredsOnly","false");

一切都很好，我可以连接到MongoDB。但问题是我使用SpringRestTemplate从应用程序发送其他HTTP请求。在我用SSL配置mongodb之后，我无法连接到任何其他外部主机。

PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target; nested exception is javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

我使用这个SO答案生成了我的SSL证书。我使用了这里描述的keytools。

更新后即使删除清除属性，甚至关闭系统，我仍然得到相同的异常。就像连接仍然试图使用错误的ssl证书一样。

Answer 1

您所做的是创建一个自定义信任存储，该信任存储取代JVM提供的信任存储，并且您的信任存储不包含公共internet服务使用的所有众所周知的CA证书。因此，当您的终端试图通过Internet验证证书时，您将得到信任路径错误。

最快的解决方法是不设置javax.net.ssl.truststore和javax.net.ssl.truststorePassword属性。相反，将mongodb CA证书导入到JVM默认信任存储（通常是cacerts文件）中。如果替换/升级JVM，则需要记住重复此操作。

如果您没有修改cacerts所需的权限，或者您位于禁止修改cacerts的共享服务器上，那么您仍然可以使用自定义信任存储，但可以使用cacerts文件中所有已知的证书来增强它。当新的CA证书出现时，您将负责维护它。