Могу ли я создать самозаверяющий сертификат на Java, которому автоматически доверяют веб-браузеры?

Question

Я создал самозаверяющий сертификат для своего приложения Java с помощью keytool. Однако, когда я перехожу на сайт в браузере, он всегда появляется с предупреждением - говоря, что этот сайт не владеет сертификатом - есть ли способ самостоятельно подписать/обработать сертификат, чтобы я не получил эти предупреждения в браузер? Оба сервера и браузер расположены на одном хосте, и я перехожу на сайт, используя «http://localhost/». Я не хочу добавлять исключение в браузер, потому что у меня есть тесты, которые запускаются на большой ферме, поэтому слишком сложно добавлять исключения ко всем браузерам на всех машинах сборки.

Answer 1

Вы также можете настроить самозаверяющий центр сертификации (CA) с помощью OpenSSL или, возможно, вашего инструмента Java. Затем вы можете использовать этот ЦС для подписи ряда сертификатов сервера.

Вам все равно придется вручную доверять самонастраиваемому ЦС всем клиентам, которые обращаются к вашим тестовым серверам, но, по крайней мере, вам нужно доверять только одному корневому ЦС, а не кучу отдельных самоподписанных сертификатов сервера ,

Другой вариант - проверить CAcert.

Answer 2

Нет, вы не можете. Вы можете также спросить: «Как я могу сделать поддельный сертификат для hsbc.com?»

Есть два способа получить браузер, чтобы принять сертификат:

• Купить сертификат для домена из доверенных (что означает доказать этот орган, что вы владеете, что домен), а затем использовать это domain как имя тестовых серверов
• Установите свой сертификат подписи в браузеры, чтобы эффективно стать доверенным органом для этого браузера.

Не касаясь браузеров, нет другого способа сделать это - как может быть, если интернет должен оставаться в безопасности?

Answer 3

Этот сертификат вы создали для localhost или для test.textbox.com? Если вы создаете сертификат для FQDN test.textbox.com, так вам нужно добраться до сервера, чтобы не получить эти ошибки, если сертификат правильно подписан. Вы не можете создать сертификат для полного доменного имени, а затем использовать IP-адрес или псевдоним (localhost) для доступа к нему, не будучи предупрежденным о том, что все не соответствует должным образом. Или я не понимаю вашу проблему?

Answer 4

Вместо этого сделайте сертификат для «localhost». Он должен соответствовать имени хоста, которое у вас есть в URL-адресе.

Вы по-прежнему будете обеспокоены тем, что сертификату не доверяют, но это еще одна проблема.