Java Applet与智能卡进行相互身份验证

Question

我需要开发一个Java小程序，以便在Tomcat 6（服务器）和智能卡“ IDGo 300 ”（客户端）之间进行相互身份验证。

为此，我想到了以下方案：

1. Tomcat（服务器）将其数字证书（由CA签名）的请求发送给SmartCard（客户端）。
2. 客户端输入PIN并在智能卡上选择可用证书，然后Applet将其证书（由CA签名）发送给tomcat。 tomcat验证数字证书，如果正确，则发回其证书。
3. 小程序验证服务器的证书，如果证书正确，则向服务器发送确认。
4. 服务器为客户端提供完全访问权限以使用Web应用程序。

我有一些疑问：

1. 这个方案可行吗？
2. 我想通过我的applet管理一切，当客户端断开智能卡的连接时，他将无法访问服务器。

Answer 1

可行吗 是。 实用吗？ 不。我会建议使用厚的Java应用程序。

首先，您不能仅通过发送证书来进行身份验证。 您还需要类似挑战响应的内容（输入PIN后，由智能卡上的私钥创建的签名）。

其次，您需要特殊权限才能使用Applet中的任何硬件。 这意味着您必须更改客户端的权限，或者可能必须签署Applet，然后用户必须接受Applet来执行特定任务。

小程序具有相当特定的生命周期。 您可能不希望将卡的移除与Applet的生命周期同步。 当您断开连接时，用户可能会阻止发送的响应。 您可以在单独的线程中使用waitForCardAbsent()测试卡是否已卸下。

如果您不能信任该连接（没有SSL的HTTP），那么您将不能信任Applet代码。 用户可能不想将其PIN输入到不受信任的代码中。

如果要支持多个浏览器和Java运行时，将遇到无数问题。

作为一个较小的问题， javax.smartcardio软件包可能并不总是可用。 它不是在javax中什么都没有。