如何判断服务器或客户端身份验证是否以两种方式 SSL 握手失败

Question

以下是来自客户端身份验证失败 SSL 握手的调试输出的 sn-p。我几乎可以肯定我的密钥库中有所有相关的证书。我还尝试信任像 -Dcom.sun.net.ssl.checkRevocation=false 这样的所有服务器，并基于 Medhi 对此 Is there a java setting for disabling certificate validation? 的回答。我总是得到相同的 unknown_ca 异常。

这个异常是否可能来自不喜欢我作为客户端提供的凭据的服务器？如何判断这个错误来自哪一侧？

0000: A6 B5 D1 75 74 B2 73 97   E1 B2 BA 5B 56 75 6E 09  ...ut.s....[Vun.
Server write key:
0000: E3 DF 3B CC 9A 6C DF A4   47 A0 69 51 D9 80 0F F2  ..;..l..G.iQ....
... no IV derived for this protocol
*** CertificateVerify
Signature Algorithm SHA512withRSA
MyMain, WRITE: TLSv1.2 Handshake, length = 264
MyMain, WRITE: TLSv1.2 Change Cipher Spec, length = 1
*** Finished
verify_data:  { 69, 68, 30, 177, 182, 137, 211, 81, 29, 49, 195, 244 }
***
MyMain, WRITE: TLSv1.2 Handshake, length = 80
MyMain, READ: TLSv1.2 Alert, length = 2
MyMain, RECV TLSv1.2 ALERT:  fatal, unknown_ca
%% Invalidated:  [Session-1, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256]
MyMain, called closeSocket()

Answer 1

MyMain, RECV TLSv1.2 ALERT:  fatal, unknown_ca

客户端收到来自服务器的 TLS 警报，因为服务器不知道（未知），因此不信任客户端发送的证书的颁发者 (ca)。

这意味着您的客户端没有发送服务器期望的证书，或者客户端未能包含必要的中间证书，从而导致证书验证失败，或者可能是服务器端配置错误。

...我也尝试过信任所有服务器...

这在这里没有帮助。问题不是客户端无法验证服务器证书，而是服务器无法验证客户端证书。在客户端站点上禁用证书验证对服务器端的证书验证没有影响，这就是这里的问题。