Как использовать аутентификацию сертификата с помощью HttpsURLConnection?

Ответ 1

Оказалось, что это вопрос с закрытым ключом, поскольку он был установлен как не экспортируемый. Поскольку это означало, что я мог получить только закрытый ключ из магазина Windows, я сбежал и "исправил" проблему с большим количеством беспорядков, чтобы получить необходимые классы jdk6, не слишком сильно влияя на остальную часть приложения.

Ответ 2

Хорошо, так что заголовок вопроса: как я могу использовать аутентификацию сертификата с помощью HttpsURLConnection? У меня есть рабочий пример для этого. Для этого он имеет одно предварительное условие:

• у вас должен быть хранилище ключей, в котором есть файл сертификата. (Я знаю, что ваш сценарий не совсем разрешает это, но, пожалуйста, просто следуйте за мной здесь немного, чтобы немного сократить вашу проблему, потому что это слишком сложно ответить сразу же с места.)

Итак, сначала возьмитесь за файл фактического сертификата. Если вы работаете в Windows 7, это можно сделать с помощью следующих шагов:

• откройте Internet Explorer,
• открыть Инструменты (в Internet Explorer 9 это значок cog),
• нажмите "Свойства обозревателя",
• перейдите на вкладку "Содержание",
• нажмите Сертификаты,
• найдите сертификат под рукой,
• щелкните по нему и нажмите "Экспорт" и сохраните его в файле (DER закодированный двоичный файл X.509).

_{(После экспорта удалите его из других сертификатов, убедившись, что Java не будет использовать его так или иначе. Я не знаю, может ли он его использовать, но это не помешает.)суб >}

Теперь вам нужно создать файл хранилища ключей и импортировать в него экспортированный сертификат, который может быть выполнен следующим образом.

> keytool -importcert -file <certificate> -keystore <keystore> -alias <alias>

_{(Очевидно, keytool должен быть на вашем пути к работе. Это часть JDK.)}

Он подскажет вам пароль (пароль хранилища ключей, он не должен ничего делать с сертификатом), который я не знаю, как установить в "" прямо сейчас, поэтому установите let it be password или что-то еще.

После этого со следующими шагами вы можете установить безопасное соединение с конечной точкой через прокси.

• Сначала загрузите файл хранилища ключей.

  InputStream trustStream = new FileInputStream("path/to/<keystore>");
  char[] trustPassword = "<password>".toCharArray();
  

• Инициализируйте KeyStore.

  KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
  trustStore.load(trustStream, trustPassword);
  

• Инициализировать объекты TrustManager. (Я думаю, что они обрабатывают разрешение сертификата или что-то в этом роде, однако, насколько мне известно, это волшебство.)

  TrustManagerFactory trustFactory =
      TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
  trustFactory.init(trustStore);
  TrustManager[] trustManagers = trustFactory.getTrustManagers();
  

• Создайте новый SSLContext, загрузите в него объекты TrustManager и установите его как значение по умолчанию. Позаботьтесь, потому что SSLContext.getDefault() возвращает немодифицируемый экземпляр класса (или более похожий по умолчанию, который нельзя повторно инициализировать, но что угодно), поэтому нам нужно использовать SSLContext.getInstance( "SSL" ). Кроме того, не забудьте установить этот новый SSLContext как значение по умолчанию, потому что без этого код переходит в poof.

  SSLContext sslContext = SSLContext.getInstance("SSL");
  sslContext.init(null, trustManagers, null);
  SSLContext.setDefault(sslContext);
  

• Создайте свой прокси-сервер и установите для него аутентификацию. (Вместо использования System.setProperty(...) используйте класс Proxy. Ох и не вводите в заблуждение Type.HTTP.)

  Proxy proxy = new Proxy(Proxy.Type.HTTP, new InetSocketAddress("<host>", <port>));
  

• Настройка аутентификации для вашего прокси. (Я использовал бесплатный прокси, который не требовал аутентификации, поэтому я не мог проверить эту часть проблемы прямо сейчас.)

  Authenticator.setDefault(new Authenticator() {
  
    @Override
    protected PasswordAuthentication getPasswordAuthentication() {
      return new PasswordAuthentication("<user>", "<password>".toCharArray());
    }
  });
  

• Подключитесь к своей конечной точке, передав ранее созданный прокси для подключения. (Я использовал один из URL-адресов моей компании, который запрашивает сертификат, сертификат которого я импортировал в своем собственном хранилище ключей, конечно.)

  URL url = new URL("<endpoint>");
  URLConnection connection = url.openConnection(proxy);
  connection.connect();
  

Если это не работает (вы получаете ошибки), попробуйте его с помощью HttpsURLConnection.

   HttpsURLConnection httpsConnection = (HttpsURLConnection) connection;
   httpsConnection.setAllowUserInteraction(true);
   httpsConnection.setRequestMethod("POST");

В принципе, функция setAllowUserInteraction срабатывает, если сервер (где находится ресурс, указанный указанным вами URL-адресом) запрашивает учетные данные, не так ли? Теперь я не смог протестировать это сам по себе, но, как я вижу, если вы можете заставить этого ребенка работать с сервером, который не требует аутентификации для доступа к своим ресурсам, тогда вам хорошо идти, потому что сервер будет спрашивать вы должны аутентифицироваться только после того, как соединение уже установлено.

Если после этого вы все равно получите некоторую ошибку, отправьте его.

Ответ 3

Из того, что я помню из моей последней попытки сделать это, вы не можете использовать HttpsURLConnection. Вы можете посмотреть библиотеку Apache HttpClient, которая поддерживает это.

Вот пример кода, дающий представление о процессе:

String server = "example.com";
int port = 443;
EasySSLProtocolSocketFactory psf = new EasySSLProtocolSocketFactory();
InputStream is = readFile("/path/to/certificate");
KeyMaterial km = new KeyMaterial(is, "certpasswd".toCharArray());
easy.setKeyMaterial(km);

Protocol proto = new Protocol("https", (ProtocolSocketFactory) psf, port);
HttpClient httpclient = new HttpClient();
httpclient.getHostConfiguration().setHost(server, port, proto);

Изменить (относительно комментария Тома):

Вот несколько соображений о том, как вы можете получить сертификаты, хранящиеся в хранилище ключей Windows:

• Вам нужно использовать набор Sun Cryptography (например, Sun Java 6 JDK).
• Вы можете получить KeyStore следующим образом: ks = KeyStore.getInstance("Windows-MY");
• Вы можете загрузить его следующим образом: ks.load(null, null);. JVM загрузит хранилище ключей Windos и позаботится о том, чтобы запросить пароль хранилища ключей.
• Затем вы можете перемещаться по хранилищу ключей, как и в любом другом хранилище ключей.

Ответ 4

Вы можете установить HostNameVerifier на соединение Https

http://docs.oracle.com/javase/6/docs/api/javax/net/ssl/class-use/HostnameVerifier.html

Пример http://www.nakov.com/blog/2009/07/16/disable-certificate-validation-in-java-ssl-connections/