可以在不顯式導入的情況下使用簽名證書嗎？

Question

我已經閱讀了很多有關證書導入的文章，但是在某些方面我仍然不清楚。

從Java應用程序（在本例中為JBOSS Web應用程序）連接到SSL站點時，是否需要事先在應用程序服務器上顯式安裝客戶端證書？

我可以手動安裝客戶端證書，但是有有效期。 因此，我需要管理我們的應用程序服務器上所有客戶端安裝的證書的到期日期，並進行中斷以更新每個證書。 感覺應該有更好的方法。 應用程序不應該自動接受有效的簽名證書嗎？ [在這種情況下，它由VeriSign簽名]

當前，當嘗試從應用程序訪問https URL而不顯式安裝證書時，我們遇到異常。 API代理庫吞沒了內部異常，因此我不知道詳細信息。

如果應該自動接受證書，那么這里可能存在其他問題...

Answer 1

可以在不顯式導入的情況下使用簽名證書嗎？

是的，不需要在使用前安裝它。 實際上，如果您事先知道期望什么，則可以將該信息包含到應用程序中。 這具有改善應用程序安全性的額外好處。

為避免導入證書，請使用自定義X509TrustManager並覆蓋checkServerTrusted 。 在checkServerTrusted ，確保需要服務器的公共密鑰（即， 固定服務器的證書或公共密鑰 ）； 或驗證服務器的證書是否有效（即，是否在有效范圍內並形成到您的可信根的鏈）。

---

從Java應用程序（在本例中為JBOSS Web應用程序）連接到SSL站點時，是否需要事先在應用程序服務器上顯式安裝客戶端證書？

對於客戶端證書，服務器會通告其依賴的頒發者來頒發客戶端證書。 因此，服務器將需要知道用於頒發客戶端證書以認證客戶端的信任點。

---

在這種情況下，它由VeriSign簽名

這可能真的很糟糕。 在這種情況下，你會相信下的所有威瑞PKI簽署你的客戶和Verisign的下威瑞PKI簽名的客戶端的所有。

在這種情況下，最好避免使用公共CA並運行自己的PKI（即成為自己的CA）。 在這種情況下，請使用OpenSSL獲取Network Security的副本。 本書將向您展示如何使用openssl命令和以編程方式完成常規任務。