如何为HTTPS调用指定出站证书别名？

Question

我正在调用一个需要客户端证书身份验证的Web服务.

如果我指定一个包含单个证书的Java密钥库(服务期望的客户端证书),那么一切正常.但是,如果我使用包含多个证书的密钥库,那么我似乎无法指定客户端应该选择哪个证书,客户端似乎会获取第一个可用证书(按字母顺序).

我尝试了以下属性,但没有预期的结果:

System.setProperty("com.sun.enterprise.security.httpsOutboundKeyAlias", "my-client-certificate alias");

如何指定应使用哪个客户端证书别名？

Answer 1

Jakub 在他的回复中提供的链接引导你得到答案,但我想在这里发布一个更简单的回复,因为我们在这个问题上挣扎了很长一段时间才终于得到了有用的东西.

我们的情况是有几个证书可供使用,我们需要使用具有特定别名的证书来执行我们的连接.我们通过创建自己的KeyManager实现来实现这一点,该实现将其大部分功能传递给默认的X509KeyManager,但是具有在执行连接时准确选择要使用的正确别名的功能.

首先是我们创建的密钥管理器:

public class FilteredKeyManager implements X509KeyManager {

private final X509KeyManager originatingKeyManager;
private final X509Certificate[] x509Certificates;

public FilteredKeyManager(X509KeyManager originatingKeyManager, X509Certificate[] x509Certificates) {
    this.originatingKeyManager = originatingKeyManager;
    this.x509Certificates = x509Certificates;
}

public X509Certificate[] getCertificateChain(String alias) {
    return x509Certificates;
}

public String[] getClientAliases(String keyType, Principal[] issuers) {
    return new String[] {"DesiredClientCertAlias"};
}

实现所需的所有其他方法都是直通的originatingKeyManager.

然后,当我们实际设置上下文时:

SSLContext context = SSLContext.getInstance("TLSv1");
context.init(new KeyManager[] { new FilteredKeyManager((X509KeyManager)originalKeyManagers[0], desiredCertsForConnection) },
    trustManagerFactory.getTrustManagers(), new SecureRandom());

希望说清楚,并为其他任何试图解决这个问题的人工作.

Answer 2

简短回答:使用默认的Java ssl实现无法完成.

答案很长:我看了如何实现SSL握手sun.security.ssl.ClientHandshaker.在其方法中serverHelloDone被称为X509ExtendedKeyManager.chooseClientAlias.它的实现实际上是以这样的方式完成的,即它们返回第一个别名,其条目与给定的密钥算法匹配,而其他一些东西也很少.无法如何调整别名选择.

对于那些可以更改代码的人来说,这看起来像是一个很有前途的解决方法:http://www.44342.com/java-f392-t785-p1.htm

Answer 3

这是一个有效的完整代码剪辑.

我使用它在Android上创建一个SSL连接,其中包含来自智能卡的密钥库,该智能卡包含多个符合标准过滤条件的证书.

积分转到zarniwoop.

/**
 * filters the SSLCertificate we want to use for SSL
 * <code>
 * KeyManagerFactory kmf = KeyManagerFactory.getInstance("X509");
 * kmf.init(keyStore, null);
 * String SSLCertificateKeyStoreAlias = keyStore.getCertificateAlias(sslCertificate);
 * KeyManager[] keyManagers = new KeyManager[] { new FilteredKeyManager((X509KeyManager)kmf.getKeyManagers()[0], sslCertificate, SSLCertificateKeyStoreAlias) };
 * </code>
 */
private class FilteredKeyManager implements X509KeyManager {

    private final X509KeyManager originatingKeyManager;
    private final X509Certificate sslCertificate;
    private final String SSLCertificateKeyStoreAlias;

    /**
     * @param originatingKeyManager,       original X509KeyManager
     * @param sslCertificate,              X509Certificate to use
     * @param SSLCertificateKeyStoreAlias, Alias of the certificate in the provided keystore
     */
    public FilteredKeyManager(X509KeyManager originatingKeyManager, X509Certificate sslCertificate, String SSLCertificateKeyStoreAlias) {
        this.originatingKeyManager = originatingKeyManager;
        this.sslCertificate = sslCertificate;
        this.SSLCertificateKeyStoreAlias = SSLCertificateKeyStoreAlias;
    }

    @Override
    public String chooseClientAlias(String[] keyType, Principal[] issuers, Socket socket) {
        return SSLCertificateKeyStoreAlias;
    }

    @Override
    public String chooseServerAlias(String keyType, Principal[] issuers, Socket socket) {
        return originatingKeyManager.chooseServerAlias(keyType, issuers, socket);
    }

    @Override
    public X509Certificate[] getCertificateChain(String alias) {
        return new X509Certificate[]{ sslCertificate };
    }

    @Override
    public String[] getClientAliases(String keyType, Principal[] issuers) {
        return originatingKeyManager.getClientAliases(keyType, issuers);
    }

    @Override
    public String[] getServerAliases(String keyType, Principal[] issuers) {
        return originatingKeyManager.getServerAliases(keyType, issuers);
    }

    @Override
    public PrivateKey getPrivateKey(String alias) {
        return originatingKeyManager.getPrivateKey(alias);
    }
}