Tomcat 服务器和 HTTP 客户端接受过期的自签名证书

问题描述 投票:0回答:2

我正在编写一个具有相互身份验证的其余客户端和服务器。客户端的密钥库既充当密钥库又充当信任库。服务器端的密钥库既充当密钥库又充当信任库。

服务器是一个由Spring boot启动的嵌入式Tomcat服务器。

我正在编写两个测试,其中一个验证服务器是否拒绝具有过期证书的客户端连接,另一个验证客户端未使用过期证书连接到服务器。

我有一个使用 java keytool 创建的信任库和密钥库。它们各自包含一个各自的自签名证书和关联的密钥。

测试1

客户端具有与过期证书(在服务器密钥库中)关联的过期密钥(在客户端密钥库中)。

当我的客户端向服务器发出请求时,服务器成功处理该请求而不是拒绝该请求。服务器应该拒绝该请求。

我正在使用这些属性来配置 tomcat 的信任存储。我是不是错过了什么?

server.ssl.trust-store={truststore location}
server.ssl.trust-store-password={password}
server.ssl.trust-alias={trust alias}
server.ssl.client_auth=NEED

测试2

服务器具有与过期证书(在客户端密钥库中)关联的过期密钥(在服务器密钥库中)。

当我的客户端(Apache HTTP Client)向服务器发出请求时,请求成功。这是错误的行为。我的解决方法是为 SSL 上下文创建一个新的 TrustStrategy,从而解决了该问题。

    return new TrustStrategy() {

        /**
         * Checks to see if certificate has not expired yet.
         * 
         * Always returns false so the trust manager is consulted.
         */
        @Override
        public boolean isTrusted(X509Certificate[] chain, String authType) throws CertificateException
        {
            for (X509Certificate certificate : chain)
            {
                certificate.checkValidity();
            }

            return false;
        }

    };

默认行为不应该是拒绝过期的证书吗?嵌入式 Tomcat 上的证书信任管理器是什么以及如何修改它以拒绝过期的证书?

谢谢!

使用spring-boot 1.4.0,嵌入式tomcat 7.0.70,Apache HTTP客户端4.3.6

java tomcat ssl certificate ssl-certificate
2个回答
1
投票

我发现了问题。

观察到的行为背后的原因是 X509TrustManager 使用 PKIXValidator 来验证客户端和服务器证书。如果验证器想要验证的证书已存在于信任库中,那么它会自动信任它,而不进行任何验证。

我能够通过用我自己的手动检查过期的 TrustManager 包装来启用过期验证。


0
投票

您能否告诉我如何启用到期验证

© www.soinside.com 2019 - 2024. All rights reserved.