建立 SSL 主机连接时无法使用签名证书验证 Cacerts [重复]

Question

我创建了一个带有自定义密钥库和自定义 CA 的自定义 cacerts。 我刚刚收到异常消息。

javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
    at sun.security.ssl.Alerts.getSSLException(Alerts.java:192) ~[?:1.7.0_45]
    at sun.security.ssl.SSLSocketImpl.fatal(SSLSocketImpl.java:1884) ~[?:1.7.0_45]
    at sun.security.ssl.Handshaker.fatalSE(Handshaker.java:276) ~[?:1.7.0_45]
    at sun.security.ssl.Handshaker.fatalSE(Handshaker.java:270) ~[?:1.7.0_45]
    at sun.security.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1341) ~[?:1.7.0_45]
    at sun.security.ssl.ClientHandshaker.processMessage(ClientHandshaker.java:153) ~[?:1.7.0_45]
    at sun.security.ssl.Handshaker.processLoop(Handshaker.java:868) ~[?:1.7.0_45]
    at sun.security.ssl.Handshaker.process_record(Handshaker.java:804) ~[?:1.7.0_45]
    at sun.security.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:1016) ~[?:1.7.0_45]
    at sun.security.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1312) ~[?:1.7.0_45]
    at sun.security.ssl.SSLSocketImpl.writeRecord(SSLSocketImpl.java:702) ~[?:1.7.0_45]
    at sun.security.ssl.AppOutputStream.write(AppOutputStream.java:122) ~[?:1.7.0_45]
    at java.io.BufferedOutputStream.flushBuffer(BufferedOutputStream.java:82) ~[?:1.7.0_45]
    at java.io.BufferedOutputStream.flush(BufferedOutputStream.java:140) ~[?:1.7.0_45]

Answer 1

该例外仅表明自定义密钥库中服务器端证书链中的一个证书未正确发布/签名，或者不是放置在客户端的自定义 cacerts 文件的一部分。由于链中存在不受信任的证书，因此 SSL 握手由于缺少正确/良好的证书路径而失败。 要了解此问题的根本原因，请尝试以 PEM 编码格式提取所有中间件、根证书和私钥证书并运行以下代码

请注意，以下内容完全取决于您的服务器上安装的 OpenSSL。 （运行 openssl version -a 以显示它是否是您服务器的一部分）

openssl verify -verbose -CAfile <(cat ServerCA1.pem ServerCA2.pem RootCA.pem)
pvtkey_hostORdns_cert.pem

在执行上述命令时，您应该观察到错误为 o/p

如果您的服务器端由多台服务器组成，则分别登录每个主机并运行上述命令。请参阅以下站点以更深入地了解如何使用 openssl 验证证书

[来源]：Verify a certificate chain using openssl verify 或者在这里查看一个非常好的博客：-https://mail.python.org/pipermail/cryptography-dev/2016-August/000676.html

注意： 如果您有 java 密钥库，但没有 CA 提供的原始证书并已导入自定义密钥库，请先使用 keytool 将 JKS 转换为 PKCS12，然后提取私钥证书。

keytool -importkeystore -srckeystore customeKeystore.jks -destkeystore customKeystore_pkcs.p12 -srcstoretype JKS - deststoretype PKCS12 

根据提示提供密码，避免在命令中传递密码

现在使用下面来提取证书。 openssl pkcs12 -in customKeystore_pkcs.p12 -nodes -out pvtkey_hostORdns_cert.pem 使用相同的 keytool 实用程序检查新生成的 PKCS12 密钥库

keytool -list -v -keystore customKeystore_pkcs.p12 -storetype pkcs12

您也可以使用查看此文件

openssl x509 -inform PEM -in pvtkey_hostORdns_cert.pem -noout -text