导入https证书

摘 要 JSSE是一个SSL和TLS的纯Java实现，通过JSSE可以很容易地编程实现对HTTPS站点的访问。但是，如果该站点的证书未经权威机构的验证，JSSE将拒绝信任该证书从而不能访问HTTPS站点。本文在简要介绍JSSE的基础上提出了两种解决该问题的方法。

　　引言

　　过去的十几年，网络上已经积累了大量的Web应用。如今，无论是整合原有的Web应用系统，还是进行新的Web开发，都要求通过编程来访问某些Web页面。传统的方法是使用Socket接口，但现在很多开发平台或工具如.NET、Java或PHP等都提供了简单的Web访问接口，使用这些接口很容易编程实现与Web应用系统的交互访问，即使要访问那些采用了HTTPS而不是HTTP的Web应用系统。

　　HTTPS，即安全的超文本传输协议，采用了SSL技术，被广泛使用以保证Web应用系统的安全性。访问Web应用的编程接口大多封装了SSL，使得访问HTTPS和访问HTTP一样简单。但是很多中、小型应用系统或基于局域网、校园网的应用系统所使用的证书并不是由权威的认证机构发行或者被其验证，直接使用这些编程接口将不能访问HTTPS。

　　本文将在简要介绍JSSE的基础上，详细描述使用JSSE访问HTTPS的方法，主要说明了如何访问带有未经验证证书的HTTPS站点。

　　JSSE简介

　　Java安全套接扩展 (Java Secure Socket Extension, JSSE)是实现Internet安全通信的一系列包的集合。它是一个SSL和TLS的纯Java实现，可以透明地提供数据加密、服务器认证、信息完整性等功能，可以使我们像使用普通的套接字一样使用JSSE建立的安全套接字。JSSE是一个开放的标准，不只是Sun公司才能实现一个JSSE，事实上其他公司有自己实现的JSSE。

　　在深入了解JSSE之前，需要了解一个有关Java安全的概念：客户端的TrustStore文件。客户端的TrustStore文件中保存着被客户端所信任的服务器的证书信息。客户端在进行SSL连接时，JSSE将根据这个文件中的证书决定是否信任服务器端的证书。

　　JSSE中，有一个信任管理器类负责决定是否信任远端的证书，这个类有如下的处理规则：

　　⑴ 果系统属性javax.net.sll.trustStore指定了TrustStore文件，那么信任管理器就去jre安装路径下的lib/security/目录中寻找并使用这个文件来检查证书。

　　⑵ 果该系统属性没有指定TrustStore文件，它就会去jre安装路径下寻找默认的TrustStore文件，这个文件的相对路径为：lib/security/jssecacerts。

　　⑶ 如果 jssecacerts不存在，但是cacerts存在(它随J2SDK一起发行，含有数量有限的可信任的基本证书)，那么这个默认的TrustStore文件就是cacerts。

　　直接使用类HttpsURLConnection访问Web页面

　　Java提供了一种非常简洁的方法来访问HTTPS网页，即使用类HttpsURLConnection、URL等。这几个类为支持HTTPS对JSSE相关类做了进一步的封装，例子如下所示：

URL reqURL = new URL("https://www.sun.com" ); //创建URL对象
HttpsURLConnection httpsConn = (HttpsURLConnection)reqURL.openConnection();

/*下面这段代码实现向Web页面发送数据，实现与网页的交互访问
httpsConn.setDoOutput(true); 
OutputStreamWriter out = new OutputStreamWriter(huc.getOutputStream(), "8859_1"); 
out.write( "……" ); 
out.flush(); 
out.close();
*/

//取得该连接的输入流，以读取响应内容 
InputStreamReader insr = new InputStreamReader(httpsConn.getInputStream();

//读取服务器的响应内容并显示
int respInt = insr.read();
while( respInt != -1){
　System.out.print((char)respInt);
　respInt = insr.read();
}

　　这段代码能够正常执行，然而把访问的URL改为https://login.bjut.edu.cn时，程序将抛出异常javax.net.ssl.SSLException，这是由于https://login.bjut.edu.cn站点的安全证书不被JSSE所信任。根据JSSE简介中对信任管理器的分析，一种解决这个问题的方法是按照信任管理器的处理规则，把站点的证书放到证书库文件jssecacerts中，或者把证书存放到任一TrustStore文件中，然后设置系统属性javax.net.sll.trustStore指向该文件。另一种解决方法则是自己实现信任管理器类，让它信任我们指定的证书。下面分别介绍这两种方法。

　　将证书导入到TrustStore文件中

　　Java提供了命令行工具keytool用于创建证书或者把证书从其它文件中导入到Java自己的TrustStore文件中。把证书从其它文件导入到TrustStore文件中的命令行格式为：

　　keytool -import -file src_cer_file –keystore dest_cer_store

　　其中，src_cer_file为存有证书信息的源文件名，dest_cer_store为目标TrustStore文件。

　　在使用keytool之前，首先要取得源证书文件，这个源文件可使用IE浏览器获得，IE浏览器会把访问过的HTTPS站点的证书保存到本地。从IE浏览器导出证书的方法是打开“Internet 选项”，选择“内容”选项卡，点击“证书…”按钮，在打开的证书对话框中，选中一个证书，然后点击“导出…”按钮，按提示一步步将该证书保存到一文件中。最后就可利用keytool把该证书导入到Java的TrustStore文件中。为了能使Java程序找到该文件，应该把这个文件复制到jre安装路径下的lib/security/目录中。

　　这样，只需在程序中设置系统属性javax.net.sll.trustStore指向文件dest_cer_store，就能使JSSE信任该证书，从而使程序可以访问使用未经验证的证书的HTTPS站点。

　　使用这种方法，编程非常简单，但需要手工导出服务器的证书。当服务器证书经常变化时，就需要经常进行手工导出证书的操作。下面介绍的实现X509证书信任管理器类的方法将避免手工导出证书的问题。
X509证书信任管理器类的实现及应用

　　在JSSE中，证书信任管理器类就是实现了接口X509TrustManager的类。我们可以自己实现该接口，让它信任我们指定的证书。

　　接口X509TrustManager有下述三个公有的方法需要我们实现：

　　⑴ oid checkClientTrusted(X509Certificate[] chain, String authType) 
throws CertificateException

　　该方法检查客户端的证书，若不信任该证书则抛出异常。由于我们不需要对客户端进行认证，因此我们只需要执行默认的信任管理器的这个方法。JSSE中，默认的信任管理器类为TrustManager。

　　⑵ oid checkServerTrusted(X509Certificate[] chain, String authType) 
throws CertificateException 

　　该方法检查服务器的证书，若不信任该证书同样抛出异常。通过自己实现该方法，可以使之信任我们指定的任何证书。在实现该方法时，也可以简单的不做任何处理，即一个空的函数体，由于不会抛出异常，它就会信任任何证书。

　　⑶ X509Certificate[] getAcceptedIssuers() 

　　返回受信任的X509证书数组。

　　自己实现了信任管理器类，如何使用呢？类HttpsURLConnection似乎并没有提供方法设置信任管理器。其实，HttpsURLConnection通过SSLSocket来建立与HTTPS的安全连接，SSLSocket对象是由SSLSocketFactory生成的。HttpsURLConnection提供了方法setSSLSocketFactory(SSLSocketFactory)设置它使用的SSLSocketFactory对象。SSLSocketFactory通过SSLContext对象来获得，在初始化SSLContext对象时，可指定信任管理器对象。下面用一个图简单表示这几个JSSE类的关系： 



图1 部分JSSE类的关系图

　　假设自己实现的X509TrustManager类的类名为：MyX509TrustManager，下面的代码片断说明了如何使用MyX509TrustManager：

//创建SSLContext对象，并使用我们指定的信任管理器初始化
TrustManager[] tm = {new MyX509TrustManager ()}; 
SSLContext sslContext = SSLContext.getInstance("SSL","SunJSSE"); 
sslContext.init(null, tm, new java.security.SecureRandom()); 

//从上述SSLContext对象中得到SSLSocketFactory对象
SSLSocketFactory ssf = sslContext.getSocketFactory();

//创建HttpsURLConnection对象，并设置其SSLSocketFactory对象
HttpsURLConnection httpsConn = (HttpsURLConnection)myURL.openConnection();
httpsConn.setSSLSocketFactory(ssf);

　　这样，HttpsURLConnection对象就可以正常连接HTTPS了，无论其证书是否经权威机构的验证，只要实现了接口X509TrustManager的类MyX509TrustManager信任该证书。

　　小结

　　本文主要介绍了在HTTPS的证书未经权威机构认证的情况下，访问HTTPS站点的两种方法，一种方法是把该证书导入到Java的TrustStore文件中，另一种是自己实现并覆盖JSSE缺省的证书信任管理器类。两种方法各有优缺点，第一种方法不会影响JSSE的安全性，但需要手工导入证书；第二种方法虽然不用手工导入证书，但需要小心使用，否则会带来一些安全隐患。

 

http://www.blogjava.net/etlan/archive/2006/06/29/55767.html

 

时间： 2024-09-13 12:32:37

导入https证书的相关文章

iis 6.0-Win2003下IIS6导入SSL证书问题

问题描述 Win2003下IIS6导入SSL证书问题 我申请了一个SSL证书,SHA2的,在Win2003+IIS6上导入后查看证书,显示: 但在另一台Win2003服务器上却正常.由此判断证书是没问题的.经咨询提供SSL证书的官方技术支持,说Win2003默认不支持SHA2的SSL证书,需要安装补丁:WindowsServer2003-KB968730-x86-CHS.exe(系统是32位) 安装该补丁并重启后,查看证书显示如下: 貌似正常了.然后用手机访问该服务器上https站点,提示: 测

自制Https证书并在Spring Boot和Nginx中使用(转)

白话Https一文中, 介绍了Https存在的目的和工作原理,但多是偏向于原理性的介绍,本文介绍如何一步一步自制一个能够通过浏览器认证的Https证书,并讲解在Spring Boot环境和Nginx环境中服务器端的配置. 如果你还没有读过白话Https,我强烈建议你先去读一下.按照白话Https中的介绍,Https协议涉及到的主体主要有三个:客户端.服务端.以及CA机构.如下图所示: 在白话Https一文中,曾介绍一个服务要申请使用Https的流程.本文所介绍的流程,针对自制Https证书,更多

https证书/即SSL数字证书申请途径和流程

国际CA机构GlobalSign中国 数字证书颁发中心网站:http://cn.globalsign.com https证书即SSL数字证书,是广泛用 于网站通讯加密传输的解决方案,是提供通信保密的安全性协议,现已成为用来鉴别网站的真实身份,以及在浏览器与WEB服务器之间进行加密通讯的全球化标准. 常见的SSL数字证书分为以下几种类型,但申请流程大同小异,但一切工作均需在以上数字证书颁发中心的网站进行,建议先咨询该中心工作人员以确定是否有申请程序的更新步骤. DV域名型证书: 确认信息--发送

免费好用的阿里云云盾证书服务(https证书)申请步骤

推荐一个免费的阿里云产品:云盾证书(https证书) 为了能让非专业人士看懂,同样尽量用直白的话,一般来说:当你个人需要建立网站,或者公司要建立官网.商城,通常需要先购买服务器或云主机,虚拟空间,然后将网页和程序.数据库部署上去,用户就可以用浏览器访问了,比如说浏览页面的内容.登录.发表评论.购物等. 这时候浏览器默认是通过http协议与网站所在的服务器进行数据交互的,由于历史的原因,http被证实并不是那么安全,容易被别有用心的人窃取信息,于是就出现了https,也就是把http加密传输,区别

把btyte数组生成公钥并导入到证书中，导入证书报错

问题描述 把btyte数组生成公钥并导入到证书中,导入证书报错 byte[] key 是一个byte数组 InputStream in = new ByteArrayInputStream(key); CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509"); Certificate certificate = certificateFactory.generateCertificat

Let's Encrypt，免费好用的 HTTPS 证书

很早之前我就在关注 Let's Encrypt 这个免费.自动化.开放的证书签发服务.它由 ISRG(Internet Security Research Group,互联网安全研究小组)提供服务,而 ISRG 是来自于美国加利福尼亚州的一个公益组织.Let's Encrypt 得到了 Mozilla.Cisco.Akamai.Electronic Frontier Foundation 和 Chrome 等众多大公司的支持,发展十分迅猛. 申请 Let's Encrypt 证书不但免费,还非常

我的Android进阶之旅------>Android关于HttpsURLConnection一个忽略Https证书是否正确的Https请求工具类

       下面是一个Android HttpsURLConnection忽略Https证书是否正确的Https请求工具类,不需要验证服务器端证书是否正确,也不需要验证服务器证书中的域名是否有效.        (PS:建议下面代码仅仅用于测试阶段,不建议用于发布后的产品中.否则的话HTTPS就形同虚设了.) import java.io.BufferedReader; import java.io.IOException; import java.io.InputStream; import

Let's Encrypt颁发的免费HTTPS证书已遭黑客利用

自打数字证书认证机构(CA)Let's Encrypt开启beta项目,为公众提供免费HTTPS证书以来,才仅有一个月时间,黑客们已经在打这项服务的主意,通过欺骗性的域来部署他们的恶意软件. 12月份时,安全公司Trend Micro发布消息说,有日本用户访问到一个恶意广告服务器,其上部署了Angler Exploit Kit--它会下载银行木马,自动感染Windows设备.这种木马可让黑客在用户不知情的情况下远程访问系统. 该公司表示,这种恶意广告服务器采用一种名为domain shadowi

HTTPS证书颁发机构Startssl SSL申请图文详解

中介交易 http://www.aliyun.com/zixun/aggregation/6858.html">SEO诊断 淘宝客 云主机 技术大厅 一.什么是 SSL 证书,什么是 HTTPS 网站? SSL证书是数字证书的一种,类似于驾驶证.护照和营业执照的电子副本.SSL证书通过在客户端浏览器和Web服务器之间建立一条SSL安全通道(Secure socket layer(SSL)安全协议是由Netscape Communication公司设计开发.该安全协议主要用来提供对用户和服务