Question

我有一段时间让我的Web服务客户端与我的Web服务通信，这需要客户端证书。我正在使用JAX-WS 2.1，Web服务请求首先通过IIS，然后在身份验证后转发到JBoss。

我正在为客户端证书使用自签名证书，并且它在“受信任的根证书颁发机构”部分的Windows 2003服务器上安装。

如果我尝试使用Internet Explorer访问服务的WSDL，系统会提示我输入证书，然后选择我创建的证书，一切似乎都正常。这让我相信所有证书都是正确的，并且所有人都信任对“人”。

下面我可以看到服务器包含对我的“happyFunBall”的引用作为它信任的权限，因为它包含在握手的 CertificateRequest 部分中：

*** CertificateRequest
Cert Types: RSA, DSS`
Cert Authorities:
   ...
<CN=Symantec Root CA, O=Symantec Corporation>
<CN=DoD Root CA 2, OU=PKI, OU=DoD, O=U.S. Government, C=US>
<CN=Microsoft Root Authority, OU=Microsoft Corporation, OU=Copyright (c) 1997 Microsoft Corp.>
<CN=happyFunBall, O=blah.blah.com, C=US>
<CN=DoD PKI Med Root CA, OU=PKI, OU=DoD, O=U.S. Government, C=US>
<CN=ECA Root CA 2, OU=ECA, O=U.S. Government, C=US>
<CN=Symantec Root 2005 CA, O=Symantec Corporation, C=US>
<CN=Microsoft Root Certificate Authority, DC=microsoft, DC=com>
   ...
*** ServerHelloDone

我几乎是这个东西的新手，所以我可能会遗漏一些非常基本的东西，我可能不会包含所有相关信息......无论如何，我使用 keytool生成我的客户端证书，它的类型为“PKCS12”。因此，当我启动客户端时，我定义了以下系统属性：

javax.net.ssl.keyStore="C:\placeWhereFunBallLives\funBall.p12"
javax.net.ssl.keyStorePassword=<password>
javax.net.ssl.keyStoreType=PKCS12

当我拨打网络服务时，我从服务器收到403。在我看来，底层的TLS / SSL实现没有找到要发送的客户端证书，或者由于某种原因即使它确实试图找到它也没有发送它。

握手成功后我应该看到什么？在上面的大块之后有这样的：

*** Certificate chain
***
*** ClientKeyExchange, RSA PreMasterSecret, TLSv1
main, WRITE: TLSv1 Handshake, length = 157
SESSION KEYGEN:
PreMaster Secret:
0000: 03 01 37 1B 02 E4 DB 34   87 A4 4C D0 03 83 74 0B  ..7....4..L...t.
0010: 8D 31 A0 B1 70 B8 31 F8   EB 72 AB 88 3B 69 B5 43  .1..p.1..r..;i.C
0020: 19 EA 24 BD 59 50 16 7D   C0 99 DC A6 EC 4F EF 64  ..$.YP.......O.d
CONNECTION KEYGEN:
Client Nonce:
0000: 4B 56 1E E4 66 09 1D 6C   EE 95 F1 47 3E 12 DA 22  KV..f..l...G>.."
0010: 63 8E 23 93 76 7D FB CB   27 7B 2E C5 8E DC 93 C2  c.#.v...'.......
Server Nonce:
0000: 4B 56 1E E4 A7 70 0F 2F   1A 17 0D 8F 2D 79 7D AE  KV...p./....-y..
0010: 70 0E C9 5C 16 A9 B5 25   B0 99 22 B3 F8 89 D8 EC  p..\...%..".....
Master Secret:
0000: C3 ED 84 D6 63 CD 6C 59   94 14 06 4B 37 EC EE C4  ....c.lY...K7...
0010: AE 99 97 1B 0E B9 61 25   AF DB C4 54 30 C5 4C 80  ......a%...T0.L.
0020: 47 74 47 E8 B0 B5 13 32   BA 93 62 33 B6 CA C4 A8  GtG....2..b3....
Client MAC write Secret:
0000: 3C E8 3A 6A B2 74 F0 ED   6C FE DE 70 77 E8 EB 36  <.:j.t..l..pw..6
Server MAC write Secret:
0000: BD 41 C5 EB 3B ED E9 E0   0C 61 28 C2 11 7A 75 1C  .A..;....a(..zu.
Client write key:
0000: 79 43 DD AD 44 B0 A0 61   1D EB 71 AB 4F 39 9D EF  yC..D..a..q.O9..
Server write key:
0000: C9 43 22 2A 48 50 FA 67   E0 01 1B 8A 48 0F C8 CF  .C"*HP.g....H...
... no IV used for this cipher
main, WRITE: TLSv1 Change Cipher Spec, length = 17
*** Finished
verify_data:  { 52, 94, 173, 217, 26, 70, 12, 243, 6, 71, 27, 163 }
***
main, WRITE: TLSv1 Handshake, length = 32
main, READ: TLSv1 Change Cipher Spec, length = 17
main, READ: TLSv1 Handshake, length = 32
*** Finished
verify_data:  { 56, 254, 211, 144, 48, 35, 4, 235, 65, 127, 237, 94 }
***
%% Cached client session: [Session-2, SSL_RSA_WITH_RC4_128_MD5]

Heeeeeeelp！

Answer 1

好的，所以我发现问题是什么（或者至少是问题的症状），并且我认为我会在这里分享它以用于历史类型。

我使用 keytool 来生成我的客户端密钥库：

keytool -genkeypair -alias funBall -keyalg rsa -dname "CN=happyFunBall,O=thing.thing.com,C=US" -keystore <keystoreLocation>/funBall.p12 -keypass <password> -storetype PKCS12 -storepass <password>

然后我用这个 keytool 命令签名：

keytool -selfcert -alias funBall -validity 1825 -keystore  <keystoreLocation>/funBall.p12 -keypass <password> -storetype PKCS12 -storepass <password>

显然，这不好。上面的“-selfcert”命令需要将“-dname”参数设置为与“-genkeypair”中使用的值相同的值，因为否则证书链或其他（我不完全理解）不正确并且证书不会被识别为服务器在其 CertificateRequest 中给出的列表的有效证书。

Answer 2

您是否也为连接配置了信任存储区？

如何使用相互身份验证解决TLSv1握手问题？

2 个答案: