SMTP STARTTLS：如果远程SMTP服务器具有自签名证书，该如何操作？

Question

当SMTP客户端连接到远程SMTP服务器并发出STARTTLS命令时，该命令具有自签名证书-我在客户端收到错误：

javax。网ssl。SSLHandshakeException：太阳。安全验证器。ValidatorException：PKIX路径生成失败：sun。安全提供商。certpath。SunCertPathBuilderException：找不到请求目标的有效证书路径

有一种解决方案可以信任所有证书，如：

SSLContext trustAllSSLContext;

TrustManager[] trustAllCerts = new TrustManager[]{new X509TrustManager() {

                @Override
                public X509Certificate[] getAcceptedIssuers() {
                    return null;
                }

                @Override
                public void checkClientTrusted(X509Certificate[] certs, String authType) {
                }

                @Override
                public void checkServerTrusted(X509Certificate[] certs, String authType) {
                }
            }};

            try {
                trustAllSSLContext = SSLContext.getInstance("SSL");
                trustAllSSLContext.init(null, trustAllCerts, null);
            } catch (NoSuchAlgorithmException | KeyManagementException ex) {
                //...
            }

但这会导致安全漏洞。我想也许这比在这种情况下发送未加密的数据更好？

Answer 1

与未加密相比，它确实可以防止被动攻击者的入侵，而被动攻击者只能窃听，而不能主动窃听。

基本上重复了如何使用Apache HttpClient处理无效的SSL证书？但这包括了很多你不需要的东西。

当然，最好的方法是让服务器获得一个“真实”的证书。如果不这样做，要信任他们的自签名证书，而不是其他任何人的证书，请通过一些您确信未被篡改的过程来获取他们的证书，并将其放在您的信任库中。

如果这是个人计算机或个人安装的Java，JSSE默认信任存储库是文件JRELOC/lib/security/jssecacerts（如果存在），否则为SAME/cacerts。cacerts文件在Java包中，包括几十个著名的公共CA，如Verisign、GoDaddy等，因此您与Internet上几乎任何公共主机（使用这些CA）的连接都可以工作，但您可以根据需要添加或删除它。在这种情况下，在文件中获取所需的DER或PEM格式的证书，然后：

keytool -keystore JRELOC/lib/security/cacerts -importcert -file the_added_cert 
# or JRELOC/bin/keytool if that directory isn't in your search path
# enter changeit for the password, and confirm that you want to trust this cert

如果此（机器和）Java与其他用户共享，更改默认信任库也会影响他们。如果您或他们不希望这样，请创建自己的文件（通过复制标准文件并进行修改），然后通过使用-Djavax运行程序来使用该信任库。网ssl。trustStore=文件名（如中所述http://docs.oracle.com/javase/7/docs/technotes/guides/security/jsse/JSSERefGuide.html#Customization)或者，如果您自己没有运行“java”，请告诉我们如何设置该系统属性。