Pourquoi Java ne parvient-il pas à envoyer les certificats clients lors des négociations SSL ?

Omission mystérieuse par Java des certificats clients lors des poignées de main SSL

Malgré la configuration correcte des paramètres du magasin de clés et du magasin de clés de confiance, de nombreux développeurs rencontrent des échecs de prise de contact SSL en raison du problème de Java. comportement particulier. Plus précisément, Java ne parvient pas à transmettre les certificats clients au serveur lors de la prise de contact.

Dévoilement du problème :

1. Interprétation erronée de la demande du serveur : Le serveur demande un certificat client (signé par RootCA), mais Java recherche uniquement son magasin de clés, ignorant un certificat correspondant (signé par RootCA). SubCA) présent dans le truststore.
2. Excès de zèle de KeyManager : Le KeyManager Java récupère de manière sélective le certificat client du magasin de clés, ignorant tous les autres, même s'ils complètent la chaîne de certificats.
3. Un échec de prise de contact s'ensuit : Java conclut à tort qu'aucun certificat applicable n'est disponible et abandonne le poignée de main, entraînant un échec frustrant.

Explications possibles :

• Importation incorrecte du certificat d'autorité de certification intermédiaire dans le magasin de clés, perturbant la chaîne de certificats.
• Mauvaise configuration du serveur, nécessitant un certificat signé par SubCA plutôt que par la RootCA fournie certificat.

Une solution de contournement temporaire :

Pour résoudre ce problème, on peut créer un fichier bundle.pem contenant le certificat client, le certificat CA intermédiaire et potentiellement le certificat racine de l'autorité de certification. Ce bundle est ensuite importé dans l'alias du magasin de clés contenant la clé privée, garantissant que Java reconnaît la chaîne complète de certificats lors des poignées de main SSL.

Cependant, cette solution de contournement reste une solution insatisfaisante et une clarification formelle de la part de l'équipe de développement Java. ou la résolution dans les versions futures est hautement souhaitable.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!