Java：如何添加 SSL 客户端身份验证

Question

我有这段代码可以使用 SSL 将服务器与客户端连接，现在我想添加客户端身份验证：

（我有一个服务器密钥库（JCEKS 类型）和一个客户端密钥库（JKS 类型），服务器使用一个信任库（cacerts），我在其中导入了两个证书，因为我也想使用这个信任库进行客户端身份验证）

客户端代码：

System.setProperty("javax.net.ssl.trustStore", cerServer);
System.setProperty("javax.net.ssl.trustStoreType","JCEKS");
System.setProperty("javax.net.ssl.trustStorePassword", pwdCacerts);

SSLSocketFactory sslsocketfactory = (SSLSocketFactory)  SSLSocketFactory.getDefault();
SSLSocket sslsocket = (SSLSocket) sslsocketfactory.createSocket("localhost", port);

服务器代码：

KeyStore ks = LoadKeyStore(new File(serverKeyStore), pwdKeyStore, "JCEKS");
KeyManagerFactory kmf; 
kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
kmf.init(ks, pwdKeyStore.toCharArray());

SSLContext sc = SSLContext.getInstance("SSL");
sc.init(kmf.getKeyManagers(),null, null);   

SSLServerSocketFactory ssf = sc.getServerSocketFactory(); 
sslserversocket = (SSLServerSocket) ssf.createServerSocket(port);

提前感谢您的帮助。

编辑： 我在服务器端添加这段代码：

System.setProperty("javax.net.ssl.trustStore", cacerts);
System.setProperty("javax.net.ssl.trustStoreType","JKS");
System.setProperty("javax.net.ssl.trustStorePassword", pwdCacerts);

但如果我删除 cacerts 中的客户端证书，连接不会给我错误，因此我认为这样是错误的

Answer 1

如果您希望您的系统使用客户端证书身份验证，则需要

• 服务器请求（或要求）客户端证书。这是通过在服务器套接字上设置setWantClientAuth(true)（或分别为setNeedClientAuth）来完成的。您还需要服务器宣传它接受的 CA，这通常是通过在包含颁发客户端证书链的 CA 的服务器上使用信任库来完成的（这似乎是您通过设置所做的javax.net.ssl.trustStore* 在服务器上）。

• 要为客户端配置包含客户端证书（如果有中间 CA，则可能是链）及其私钥的密钥库。这可以通过设置javax.net.ssl.keyStore*（可能会影响其他连接）或使用KeyManagerFactory 来完成，就像在服务器端一样。

如果您使用setWantClientAuth(true)，您可能仍然不会收到错误，因为服务器将接受没有客户端证书的连接（然后服务器将检查SSLSession 的对等证书以查看是否有没有证书）。 setNeedClientAuth(true) 会在客户端不提供证书时断开连接。