GAE (java) 上用于 Web 服务的 2 路 SSL

Question

我们需要在 Google App Engine 上实现双向 SSL，我们使用 JAX-WS 将 Web 服务请求发送到要求双向 SSL 身份验证的服务器。

我们如何为传出的 Web 服务请求设置 2-way SSL？

我们知道 javax.net.ssl* 在 App Engine 环境中是被禁止的。

这是我们的代码示例：

@WebService(name="ListenerSoap", targetNamespace = "http://example.com/Listener.Wsdl")
@SOAPBinding(parameterStyle = SOAPBinding.ParameterStyle.BARE)
public interface ListenerSoap {

    @WebMethod(operationName = "Ping", action="http://example.com/Listener.Wsdl#Ping")
    public void ping();
}

@WebServiceClient(name="Listener", targetNamespace="http://example.com/Listener.Wsdl", wsdlLocation = "https://example.com/Listener.asmx?WSDL")
public class Listener extends Service
{
  public ListenerSoap getListenerSoap() {
   return super.getPort(new QName("http://example.com/Listener.Wsdl", 
                       "ListenerSoap"), ListenerSoap.class);
  }
}

以及上面代码的使用示例：

ListenerSoap soap = new Listener().getListenerSoap();
soap.ping();

我认为我们可以将 DataStore 中所需的密钥库或任何证书存储为二进制对象（尽管如何上传它们对我来说仍然很模糊）。

我们如何设置此 Web 服务使用 2-way SSL 进行身份验证所需的必要值？

感谢您的帮助

更新：

通过研究，我发现这是如何在传统服务器（具有文件系统访问权限的服务器）上完成的：

ListenerSoap soap = new Listener().getListenerSoap();
((BindingProvider) soap).getRequestContext().put("javax.net.ssl.keyStore", "client_cert.p12"

但是，在这种方法中，client_cert.p12 应该在文件系统上。

此外，SSLSocketFactory、SSLContext、KeyManager 和 KeyManagerFactory 都不允许在 GAE 上使用。

更新：

从 GAE SDK 版本 1.7.7 开始。现在应该可以了：

Similarly, Java developers can now use the javax.net.ssl package to make outbound SSL connections.

GAE 1.7.7 SDK Release Notes

Answer 1

根据我对 SSL 授权的有限了解，您似乎在这里遗漏了一些至关重要的东西；证书。双向 SSL 要求客户端和服务器证书在您的密钥库中，可以是自签名证书（pkcs12 或 pem 文件，您可以通过 shell 使用一些命令轻松生成）或由像 Thawte 或 Verisign 这样的授权公司。 虽然我不确定这是否是您面临的问题，但最好检查一下。 （另外，我是新手，所以请不要对我的回答投反对票，只是想提出可能的选择。）

Answer 2

ListenerSoap soap = new Listener().getListenerSoap();

希望改进

谢谢

Answer 3

我知道您可能不想听到这个消息，但是使用 SSL 的成本很高，而且对于双向通信来说是有问题的。根据您对服务器/客户端的控制程度，我更喜欢简单的双向管道，如 Web 套接字和可以简单实现 AES 的数据包协议。这实际上取决于您要解决的问题。

Answer 4

听起来对通过 SSL (https://...) 的简单连接和所谓的“相互身份验证”或“公钥基础设施 (PKI)”存在混淆。您实际上可以同时做这两个或一个独立于另一个。对于后者（我认为原始问题指的是），当您向服务器发出请求时，服务器将响应您要求您提供证书以进行身份​​验证。

要回答上面的具体问题（从二进制数据加载密钥库），我认为这不太可能，因为它是 Java 运行时在您的密钥库中提取。您唯一能做的就是从数据存储中加载这些位并将其临时写入磁盘。当应用程序存在时，可选择将其删除。这是我以前做过的，效果很好。如果你这样做，我建议使用可能是可写的位置（例如System.getProperty("java.io.tmpdir"));），然后在将文件写入磁盘后，设置JVM属性（例如System.getProperties().put( "javax.net.ssl.keyStore","...");）

Answer 5

为此，您需要 App Engine 的 Socket API。此 API 处于受信任的测试者模式，因此并非所有人都可以使用。

您可以要求访问基尔：https://docs.google.com/spreadsheet/viewform?formkey=dF9QR3pnQ2pNa0dqalViSTZoenVkcHc6MQ#gid=0

Answer 6

据我所知，不支持 2 路 SSL（从 GAE 中托管的应用程序到外部世界）。几个月前我尝试了一个示例应用程序，但很沮丧地发现 GAE 甚至不支持这个基本功能......而且文档也不清楚。当您联系网络服务时，您将无法出示客户端证书。没有地方存储它，无法访问密钥库。

Answer 7

据我所知，关于双向 SSL，您将无法与 Java EE 代码链接：双向 SSL 是一种传输层安全性：当您的客户端应用程序将尝试与服务创建安全的 HTTP 连接 (HTTPS) 时，服务器将要求提供证书，并将批准或不批准此证书。如果客户端证书被批准，则将在各方上建立安全连接，并允许他们通过此隧道交换一些消息。但是这个过程是在传输层上完成的。你的代码（在应用层）永远不会被告知这个过程。 为了建立双向 SSL，需要在应用服务器上设置 SSL 端口。