动态 SSL 密钥库/证书选择

Question

我的应用程序是在 websphere 上运行的 Web 服务提供者，而 SOAP Web 服务客户端由多个特定于每个客户端的密钥库组成。该应用程序需要迁移到 tomcat，我很震惊，因为我需要使用不同的证书来根据传入的客户端请求与后端服务器建立 TLS 连接

我正在使用 springboot 并且有一种配置 keystore 和 trustore 的方法。按照以下链接：

http://zoltanaltfatter.com/2016/04/30/soap-over-https-with-client-certificate-authentication/

我想在运行时根据客户端设置证书/密钥库。为此，我正在连接密钥库和配置（客户端）名称，以便我可以动态使用客户端特定的密钥库。但这是紧耦合的，每次我有一个新客户端时，我都需要为客户端创建一个条目并设置相应的密钥库。

但我想到了另一种方法，比如我将所有证书保存在一个密钥库中，我们如何动态访问客户端特定的证书？

Answer 1

您可以使用密钥库来管理您的所有客户端证书，这些证书将由别名标识。

默认KeyManager会在握手中选择第一个证书，所以在创建连接之前不需要建立自己的X509KeyManager来指定要使用的别名。见How I can tell alias of the wanted key-entry to SSLSocket before connecting?

KeyStore keystore = ... //The keystore with all your certificates

//The keymanager for an specific connection
KeyManagerFactory kmf=  KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
kmf.init(keystore, password.toCharArray());

//Create a keyManager wrapper that returns the alias to use
final X509KeyManager origKm = (X509KeyManager)kmf.getKeyManagers()[0];
X509KeyManager km = new X509KeyManager() {
   public String chooseClientAlias(String[] keyType, Principal[] issuers, Socket socket) {
       return "alias";
   }

   public X509Certificate[] getCertificateChain(String alias) {
       return origKm.getCertificateChain(alias);
   }

// override the rest of the methods delegating to origKm ...
}

在HttpsUrlConnectionMessageSender 中注入新的keyManager

HttpsUrlConnectionMessageSender messageSender = new HttpsUrlConnectionMessageSender();
//messageSender.setKeyManagers(keyManagerFactory.getKeyManagers());
messageSender.setKeyManagers(new KeyManager[] { km });