На сервере Jetty я могу получить сертификат клиента, используемый для проверки подлинности клиента?

Очень просто настроить встроенный сервер Jetty, который запрашивает аутентификацию клиента: нужно просто добавить оператор SslContextFactory.setNeedClientAuth(истина); в контексте ssl при настройке сервера. Любой клиент, имеющий свой сертификат в доверенном сервере сервера, сможет установить TLS-соединение с сервером.

Однако мне нужно знать, какой клиент всех возможных доверенных клиентов делает запрос; другими словами, мне нужно знать сертификат клиента, используемый в этом соединении, в частности в обработчике. Кто-нибудь знает, как получить доступ к этому сертификату или если это возможно?

Ответ 1

Обновлен август 2019 года: для Jetty 9.4.20.v20190813 выпуск.

Сертификаты добавляются в объекты запроса (такие как HttpServletRequest) с помощью настройки HttpConfiguration Customizer.

В частности, SecureRequestCustomizer.

Ваш код для его использования будет следующим (прокрутите вниз)...

Server server = new Server();

// === HTTP Configuration ===
HttpConfiguration http_config = new HttpConfiguration();
http_config.setSecureScheme("https");
http_config.setSecurePort(8443);
http_config.setOutputBufferSize(32768);
http_config.setRequestHeaderSize(8192);
http_config.setResponseHeaderSize(8192);
http_config.setSendServerVersion(true);
http_config.setSendDateHeader(false);

// === Add HTTP Connector ===
ServerConnector http = new ServerConnector(server,
    new HttpConnectionFactory(http_config));
http.setPort(8080);
http.setIdleTimeout(30000);
server.addConnector(http);

// === Configure SSL KeyStore, TrustStore, and Ciphers ===
SslContextFactory sslContextFactory = new SslContextFactory.Server();
sslContextFactory.setKeyStorePath("/path/to/keystore");
sslContextFactory.setKeyStorePassword("changeme");
sslContextFactory.setKeyManagerPassword("changeme");
sslContextFactory.setTrustStorePath("/path/to/truststore");
sslContextFactory.setTrustStorePassword("changeme");
// OPTIONAL - for client certificate auth (both are not needed)
// sslContextFactory.getWantClientAuth(true)
// sslContextFactory.setNeedClientAuth(true)

// === SSL HTTP Configuration ===
HttpConfiguration https_config = new HttpConfiguration(http_config);
https_config.addCustomizer(new SecureRequestCustomizer()); // <-- HERE

// == Add SSL Connector ===
ServerConnector sslConnector = new ServerConnector(server,
    new SslConnectionFactory(sslContextFactory,"http/1.1"),
    new HttpConnectionFactory(https_config));
sslConnector.setPort(8443);
server.addConnector(sslConnector);

С этим SecureRequestCustomizer вы можете получить доступ к различным частям о соединении SSL из вызовов HttpServletRequest.getAttribute(String), используя следующие имена атрибутов.

javax.servlet.request.X509Certificate

массив java.security.cert.X509Certificate[]

javax.servlet.request.cipher_suite

Строковое имя набора шифров. (аналогично тому, что возвращается из javax.net.ssl.SSLSession.getCipherSuite())

javax.servlet.request.key_size

Целое число используемой длины ключа

javax.servlet.request.ssl_session_id

Строковое представление (в шестнадцатеричном виде) активного идентификатора сеанса SSL

Ответ 2

Существует стандартное свойство запроса сервлета: javax.servlet.request.X509Certificate

Он возвращает массив X509Certificates.

Мы используем это, чтобы получить имя и посмотреть DN из сертификата:

x509Cert[0].getSubjectX500Principal().getName()