Warum sendet Java bei SSL-Handshakes keine Client-Zertifikate?

Java's mysteriöses Auslassen von Client-Zertifikaten während SSL-Handshakes

Trotz der korrekten Konfiguration der Keystore- und Truststore-Einstellungen stoßen viele Entwickler auf SSL-Handshake-Fehler aufgrund von Java eigenartiges Verhalten. Insbesondere gelingt es Java nicht, Client-Zertifikate während des Handshakes an den Server zu übertragen.

Aufdeckung des Problems:

1. Fehlinterpretation der Serveranforderung: Der Server fordert ein Client-Zertifikat (signiert von RootCA) an, aber Java durchsucht nur seinen Keystore und ignoriert ein passendes Zertifikat (signiert von). SubCA) im Truststore vorhanden.
2. Übereifer des KeyManagers: Der Java KeyManager ruft selektiv das Client-Zertifikat aus dem Keystore ab und übersieht alle anderen, auch wenn sie die Zertifikatskette vervollständigen.
3. Es kommt zu einem Handshake-Fehler: Java kommt fälschlicherweise zu dem Schluss, dass keine anwendbaren Zertifikate verfügbar sind und bricht ab Handshake, was zu einem frustrierenden Fehler führte.

Mögliche Erklärungen:

• Unsachgemäßer Import des Zwischen-CA-Zertifikats in den Keystore, wodurch die Zertifikatskette unterbrochen wird.
• Fehlkonfiguration des Servers, die ein von SubCA signiertes Zertifikat anstelle der bereitgestellten RootCA erfordert Zertifikat.

Eine vorübergehende Problemumgehung:

Um dieses Problem zu beheben, kann man eine bundle.pem-Datei erstellen, die das Client-Zertifikat, das Zwischen-CA-Zertifikat usw. enthält möglicherweise das Root-CA-Zertifikat. Dieses Paket wird dann in den Keystore-Alias ​​importiert, der den privaten Schlüssel enthält, um sicherzustellen, dass Java bei SSL-Handshakes die vollständige Zertifikatskette erkennt.

Diese Problemumgehung bleibt jedoch eine unbefriedigende Lösung und eine formelle Klarstellung durch das Java-Entwicklungsteam oder Auflösung in zukünftigen Versionen ist sehr wünschenswert.

Das obige ist der detaillierte Inhalt vonWarum sendet Java bei SSL-Handshakes keine Client-Zertifikate?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!