具有相互身份驗證的 Https 請求通過 curl 但因 java 失敗

Question

github 上有人問我一個關於我的圖書館的問題。 這個庫提供了一些工廠類來輕松創建 sslcontext。 我確保不共享庫的詳細信息，只共享普通的 java 代碼和我使用的附加庫。 我嘗試調試它並嘗試重新格式化證書，但它不起作用。 我得到的例外是：

sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

java 信任管理器基本上是說我收到了服務器的證書，我剛剛檢查了您的受信任證書列表，但找不到匹配的證書。 所以我不信任這個服務器，因此我停止了這個請求。 當我調試它時，我可以理解為什么信任管理器會拋出異常，因為根本沒有與服務器相同的匹配證書。 但是，當我將相同的文件與 curl 一起使用時，它可以工作，所以我不太確定證書和密鑰材料是否存在問題，或者 java ZF9D5C16A7F42203F8C195432354A 可能存在一些限制或未正確配置它......我希望有人可以向我解釋為什么它在 java 中失敗並在 curl 中通過的行為差異。

客戶端的私鑰內容：

客戶端的證書鏈內容：

受信任的證書，ca

因此，以下 curl 命令將成功執行並為我提供正確的響應正文：

curl --cacert ca.pem --key client-key.pem --cert client-cert.pem https://prod.idrix.eu/secure/

為了在 Java 中加載這些文件，我使用 Bouncy Castle，下面是解析它的完整片段，將其加載到 TrustManager、KeyManager、創建 SSLContext 並執行請求：

import org.bouncycastle.asn1.pkcs.PrivateKeyInfo;
import org.bouncycastle.cert.X509CertificateHolder;
import org.bouncycastle.cert.jcajce.JcaX509CertificateConverter;
import org.bouncycastle.jce.provider.BouncyCastleProvider;
import org.bouncycastle.openssl.PEMKeyPair;
import org.bouncycastle.openssl.PEMParser;
import org.bouncycastle.openssl.jcajce.JcaPEMKeyConverter;

import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManagerFactory;
import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStream;
import java.io.InputStreamReader;
import java.io.Reader;
import java.io.StringReader;
import java.net.URI;
import java.net.http.HttpClient;
import java.net.http.HttpRequest;
import java.net.http.HttpResponse;
import java.nio.charset.StandardCharsets;
import java.security.KeyStore;
import java.security.PrivateKey;
import java.security.cert.Certificate;
import java.security.cert.X509Certificate;
import java.util.Objects;
import java.util.stream.Collectors;

public class App {

    private static final BouncyCastleProvider BOUNCY_CASTLE_PROVIDER = new BouncyCastleProvider();
    private static final JcaPEMKeyConverter KEY_CONVERTER = new JcaPEMKeyConverter().setProvider(BOUNCY_CASTLE_PROVIDER);
    private static final JcaX509CertificateConverter CERTIFICATE_CONVERTER = new JcaX509CertificateConverter().setProvider(BOUNCY_CASTLE_PROVIDER);

    public static void main(String[] args) throws Exception {
        String clientKeyContent = App.getContent(App.class.getClassLoader().getResourceAsStream("client-key.pem"));
        String clientCertificateChainContent = App.getContent(App.class.getClassLoader().getResourceAsStream("client-cert.pem"));
        String caCertificateContent = App.getContent(App.class.getClassLoader().getResourceAsStream("ca.pem"));

        Reader reader = new StringReader(clientKeyContent);
        PEMParser pemParser = new PEMParser(reader);
        Object object = pemParser.readObject();

        PrivateKeyInfo privateKeyInfo = ((PEMKeyPair) object).getPrivateKeyInfo();
        PrivateKey clientKey = KEY_CONVERTER.getPrivateKey(privateKeyInfo);
        reader.close();
        pemParser.close();

        reader = new StringReader(clientCertificateChainContent);
        pemParser = new PEMParser(reader);

        object = pemParser.readObject();
        X509Certificate clientCertificateChain = CERTIFICATE_CONVERTER.getCertificate((X509CertificateHolder) object);
        reader.close();
        pemParser.close();

        reader = new StringReader(caCertificateContent);
        pemParser = new PEMParser(reader);

        object = pemParser.readObject();
        X509Certificate caCertificate = CERTIFICATE_CONVERTER.getCertificate((X509CertificateHolder) object);
        reader.close();
        pemParser.close();

        KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
        keyStore.load(null, "password".toCharArray());
        keyStore.setKeyEntry("client", clientKey, "".toCharArray(), new Certificate[]{clientCertificateChain});
        KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        keyManagerFactory.init(keyStore, "".toCharArray());

        KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
        trustStore.load(null, "password".toCharArray());
        trustStore.setCertificateEntry("ca", caCertificate);
        TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        trustManagerFactory.init(trustStore);

        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(keyManagerFactory.getKeyManagers(), trustManagerFactory.getTrustManagers(), null);

        HttpClient httpClient = HttpClient.newBuilder()
                .sslContext(sslContext)
                .build();

        HttpRequest request = HttpRequest.newBuilder()
                .GET()
                .uri(URI.create("https://prod.idrix.eu/secure/"))
                .build();

        HttpResponse<String> response = httpClient.send(request, HttpResponse.BodyHandlers.ofString());
        System.out.println(response.body());
    }

    public static String getContent(InputStream inputStream) throws IOException {
        try (InputStreamReader inputStreamReader = new InputStreamReader(Objects.requireNonNull(inputStream), StandardCharsets.UTF_8);
             BufferedReader bufferedReader = new BufferedReader(inputStreamReader)) {

            return bufferedReader.lines()
                    .collect(Collectors.joining(System.lineSeparator()));
        }
    }

}

我正在使用 Java 11 和 Bouncy Castle，具體的 artifact-id 見下文：

<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcpkix-jdk15on</artifactId>
    <version>1.68</version>
</dependency>

所以對我來說，不清楚為什么 curl 命令有效並且 java 中的設置失敗。 我是否配置錯誤，任何幫助都會很棒。 我試圖提供盡可能多的細節。 私鑰是一個測試密鑰，所以在這里分享它不會有害。

Answer 1

我發現了問題所在，因此我想與其他有共同點的人分享。

看起來在 mac os x curl 上默認使用系統受信任的證書，而在 java 方面並非如此。 我不確定 curl 與其他操作系統的行為是什么。 https://prod.idrix.eu/secure/有一個由DST Root CA X3簽名的證書我禁用了這個並重新運行與我最初問題中描述的完全相同的設置，curl Z5E056C500A1C47BADEZ 請求也失敗了，就像它一樣失敗在 java 側。

我從鑰匙串中禁用了它，如下所示：

具有相互身份驗證的 Https 請求通過 curl 但因 java 失敗

問題描述

1 個解決方案

解決方案1
1 已采納 2021-01-23 10:16:02

具有相互身份驗證的 Https 請求通過 curl 但因 java 失敗

問題描述

1 個解決方案

解決方案1 1 已采納 2021-01-23 10:16:02

解決方案1
1 已采納 2021-01-23 10:16:02