java ssl多個客戶端證書

Question

我有一台服務器，該服務器配置為接受由私有CA簽名的任何客戶端證書，但是似乎無法讓多個客戶端使用不同的私鑰連接到該證書以進行測試。

我正在嘗試創建一個與admin連接的單元測試，以設置測試，然后斷開連接，在受限用戶斷開連接之前按照受限用戶的方式重新連接，然后再次使用admin打開以驗證受限用戶操作是否成功。

僅與一個客戶端連接可以很好地解決問題，問題是我的服務器日志顯示admin總共登錄了3次，因為正如wireshark所確認的那樣，ssl會話只是使用了簡短的會話恢復握手，而不是重新協商每個連接。

有沒有辦法強迫球衣客戶重新協商每個連接？

客戶端測試代碼：

System.setProperty("javax.net.ssl.keyStore", "admin.jks");
System.setProperty("javax.net.ssl.keyStorePassword", "password");
makeClient().resource(getResetURI()).post(Response.class, RESET_DATA);
System.setProperty("javax.net.ssl.keyStore", "limited-user.jks");
makeClient().resource(getUpdateURI()).post(Response.class, TEST_UPDATE_SMALL_DATA); // this connection is actually as admin

...
    public Client makeClient() {
        final DefaultApacheHttpClientConfig clientConfig = new DefaultApacheHttpClientConfig();
        clientConfig.getProperties().put(ApacheHttpClientConfig.PROPERTY_HANDLE_COOKIES, true);    
        clientConfig.getProperties().put(ClientConfig.PROPERTY_FOLLOW_REDIRECTS, true);
        String keystore = Util.getSystemProperty("javax.net.ssl.keyStore");;
        String keystorePassword = Util.getSystemProperty("javax.net.ssl.keyStorePassword");
        try{
            KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
            KeyStore ks = KeyStore.getInstance("JKS");
            try(FileInputStream fis = new java.io.FileInputStream(keystore)){
                ks.load(fis, keystorePassword.toCharArray());
            }
            kmf.init(ks, keystorePassword.toCharArray());
            SSLContext sslctx = SSLContext.getInstance("TLSv1.2");
            sslctx.getClientSessionContext().setSessionCacheSize(1);
            sslctx.getClientSessionContext().setSessionTimeout(1);
            // TODO: the below two nulls are probably insecure
            sslctx.init(kmf.getKeyManagers(), null, new SecureRandom());
            clientConfig.getProperties().put(HTTPSProperties.PROPERTY_HTTPS_PROPERTIES, new HTTPSProperties(null, sslctx));
        }
        catch(Exception e)
        {
            throw new RuntimeException(e);
        }

        /* we must construct our own handler in order to override the Retry handler */
        final ApacheHttpClientHandler clientHandler = new ApacheHttpClientHandler(new HttpClient(new MultiThreadedHttpConnectionManager()), clientConfig);
        clientHandler.getHttpClient().getParams().setParameter(HttpMethodParams.RETRY_HANDLER, new DefaultHttpMethodRetryHandler(0, false));

    Client tclient = new ApacheHttpClient(clientHandler);
    tclient.setFollowRedirects(true);
    return tclient;
}

我也嘗試過重置兩次調用之間的ssl會話，但是據我所知這沒有任何效果：

SSLSessionContext ssc = SSLContext.getInstance("TLSv1.2").getClientSessionContext();
for (Enumeration<byte[]> e = ssc.getIds(); e.hasMoreElements();)
{
   byte[] id = e.nextElement();
   ssc.getSession(id).invalidate();
   System.out.println("Invalidating!");
}
Thread.sleep(1100);

是否可以僅在一個JVM中更改證書，還是必須為此測試生成多個JVM？

Answer 1

Apache HTTP客戶端不支持在單個JVM中使用多個證書。 但是，原始的Jersey客戶端確實支持按實例的證書，並且切換到該客戶端應啟用按實例的配置。 請注意，Apache HTTP Client通常用於其cookie管理，因此，如果需要，您將不得不在Jersey客戶端上重新實現cookie管理（請參閱Jersey客戶端：向請求添加cookie）以實現簡單的實現）