Использует ли JSSE сертификат в PrivateKeyEntry как якорь доверия?

Question

Если хранилище ключей, содержащее один или более PrivateKeyEntry, указано как хранилище доверия, будет ли JSSE создавать привязку доверия из сертификата конечного объекта в каждой из этих записей?

Другими словами, достаточно ли иметь сертификат под номером PrivateKeyEntry, если у нас есть одно хранилище ключей с доверенными и частными записями? Или, должен ли мы также добавить этот сертификат как TrustedCertificateEntry?

Answer 1

Это не имеет значения, где сертификат помещается либо под PrivateKeyEntry или под trustedCertEntry, JVM доверяет хозяина из сертификата в любом случае.

Протестировано локально.

Запустить локальный сервер с https и хранилищем ключей с только один PrivateKeyEntry.

и запустить клиент с кодом:

public static String getHTML(String urlToRead) throws Exception { 
    StringBuilder result = new StringBuilder(); 
    URL url = new URL(urlToRead); 
    HttpURLConnection conn = (HttpURLConnection) url.openConnection(); 
    conn.setRequestMethod("GET"); 
    BufferedReader rd = new BufferedReader(new InputStreamReader(conn.getInputStream())); 
    String line; 
    while((line = rd.readLine()) != null) { 
     result.append(line); 
    } 
    rd.close(); 
    return result.toString(); 
} 

public static void main(String[] args) throws Exception { 
    String testUrl="https://localhost/test"; 
    System.out.println(getHTML(testUrl)); 
} 

Без всякого:

Исключение в потоке "главный" javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX Не удалось создать путь по пути: sun.security.provider.certpath.SunCertPathBuilderException: не удалось найти действительный путь сертификации для запрошенной цели

С доверенных сертификатами, который содержит только один PrivateKeyEntry (тот же файл JKS, который был использован для сервера в качестве хранилища ключей):

<!DOCTYPE....</html> 

Answer 2

достаточно ли иметь сертификат под PrivateKeyEntry, если у нас есть один хранилище ключей как с доверенными, так и с частными лицами

У вас никогда не должно быть такого хранилища ключей.

или мы также должны добавить сертификат как trustedCertEntry, чтобы делать запросы к себе/другому узлу под прокси?

trustedCertEntry используется для входящих сертификатов. Запись закрытого ключа используется для исходящих сертификатов.

Вы объединяете две разные вещи, а также два разных использования хранилищ ключей.

1. Файл хранилища ключей, который содержит trustedCertEntryявляется доверенными, в смысле javax.net.ssl.trustStore, и он говорит JSSE, которые входящие сертификатов доверять, прямо или косвенно.

2. Файл хранилища ключей, который содержит PrivateKeyEntry является хранилища ключей, в смысле javax.net.ssl.keyStore, и он говорит JSSE, какие сертификаты использовать для исходящих сертификатов.

3. Файл хранилища ключей, который содержит оба, радикально искажен. Трастовый магазин - это просто список сертификатов, которым нужно доверять. Это не секрет. KeyStore содержит ваш секретный ключ, и он абсолютно секрет для всех. Конфликт между ними является серьезным нарушением безопасности.

Если неважно, почему бы было два разных типа входа?

Это не вопрос. Если у вас есть закрытый ключ, в котором должен быть доверенный сертификат, это означает, что у вас есть чужой секретный ключ, который является нарушением безопасности prima facie.