可以在不显式导入的情况下使用签名证书吗？

Question

我已经阅读了很多有关证书导入的文章，但是在某些方面我仍然不清楚。

从Java应用程序（在本例中为JBOSS Web应用程序）连接到SSL站点时，是否需要事先在应用程序服务器上显式安装客户端证书？

我可以手动安装客户端证书，但是有有效期。 因此，我需要管理我们的应用程序服务器上所有客户端安装的证书的到期日期，并进行中断以更新每个证书。 感觉应该有更好的方法。 应用程序不应该自动接受有效的签名证书吗？ [在这种情况下，它由VeriSign签名]

当前，当尝试从应用程序访问https URL而不显式安装证书时，我们遇到异常。 API代理库吞没了内部异常，因此我不知道详细信息。

如果应该自动接受证书，那么这里可能存在其他问题...

Answer 1

可以在不显式导入的情况下使用签名证书吗？

是的，不需要在使用前安装它。 实际上，如果您事先知道期望什么，则可以将该信息包含到应用程序中。 这具有改善应用程序安全性的额外好处。

为避免导入证书，请使用自定义X509TrustManager并覆盖checkServerTrusted 。 在checkServerTrusted ，确保需要服务器的公共密钥（即， 固定服务器的证书或公共密钥 ）； 或验证服务器的证书是否有效（即，是否在有效范围内并形成到您的可信根的链）。

---

从Java应用程序（在本例中为JBOSS Web应用程序）连接到SSL站点时，是否需要事先在应用程序服务器上显式安装客户端证书？

对于客户端证书，服务器会通告其依赖的颁发者来颁发客户端证书。 因此，服务器将需要知道用于颁发客户端证书以认证客户端的信任点。

---

在这种情况下，它由VeriSign签名

这可能真的很糟糕。 在这种情况下，你会相信下的所有威瑞PKI签署你的客户和Verisign的下威瑞PKI签名的客户端的所有。

在这种情况下，最好避免使用公共CA并运行自己的PKI（即成为自己的CA）。 在这种情况下，请使用OpenSSL获取Network Security的副本。 本书将向您展示如何使用openssl命令和以编程方式完成常规任务。