JSSE 是否使用 PrivateKeyEntry 中的证书作为信任锚？

Question

如果将包含一个或多个PrivateKeyEntry 的密钥库指定为信任库，JSSE 是否会根据每个条目中的最终实体证书创建信任锚？

换句话说，如果我们有一个包含受信任和私有条目的密钥库，那么在PrivateKeyEntry 下拥有一个证书就足够了吗？或者，我们是否还必须将该证书添加为TrustedCertificateEntry？

Answer 1

如果我们有一个包含受信任和私有条目的密钥库，那么在 PrivateKeyEntry 下拥有证书就足够了吗

你不应该有这样的密钥库。

或者我们应该添加证书作为trustedCertEntry，以便向他们自己/代理下的其他节点发出请求？

trustedCertEntry 用于传入证书。私钥条目用于传出证书。

您将两种不同的东西混为一谈，实际上是密钥库的两种不同用途。

1. 包含trustedCertEntry 的密钥库文件是信任库，在javax.net.ssl.trustStore 的意义上，它告诉JSSE 要信任哪个传入 证书，直接或间接。

2. 包含PrivateKeyEntry 的密钥库文件是密钥库，在javax.net.ssl.keyStore 的意义上，它告诉JSSE 哪些证书用于出站证书。

3. 包含两者的密钥库文件的格式严重错误。信任库只是要信任的证书列表。这不是秘密。 KeyStore 包含您的私钥，它是每个人的最高机密。将两者混为一谈是一个重大的安全漏洞。

如果没有关系，为什么会有两种不同类型的条目？

这甚至不是一个合适的问题。如果您有一个私钥应该是受信任的证书，这意味着您有其他人的私钥，这是一个初步安全漏洞。

Answer 2

证书放在 PrivateKeyEntry 或 trustedCertEntry 下的位置并不重要，JVM 信任 主机从证书无论如何。

在本地测试。

使用 https 和密钥库运行本地服务器，只有一个 PrivateKeyEntry。

并使用代码运行客户端：

public static String getHTML(String urlToRead) throws Exception {
    StringBuilder result = new StringBuilder();
    URL url = new URL(urlToRead);
    HttpURLConnection conn = (HttpURLConnection) url.openConnection();
    conn.setRequestMethod("GET");
    BufferedReader rd = new BufferedReader(new InputStreamReader(conn.getInputStream()));
    String line;
    while((line = rd.readLine()) != null) {
        result.append(line);
    }
    rd.close();
    return result.toString();
}

public static void main(String[] args) throws Exception {
    String testUrl="https://localhost/test";
    System.out.println(getHTML(testUrl));
}

没有：

线程“主”javax.net.ssl.SSLHandshakeException 中的异常： sun.security.validator.ValidatorException：PKIX 路径构建失败： sun.security.provider.certpath.SunCertPathBuilderException：无法 找到请求目标的有效认证路径

使用仅包含一个 PrivateKeyEntry 的 truststore（用于服务器的同一 jks 文件作为密钥库）：

<!DOCTYPE....</html>