Tomcat - WebService - 没有Trust Store

Question

我们在Tomcat上运行了一个Webservice应用程序。

这是SSL安全的。我们需要与尝试访问我们的Web服务的每个客户共享我们的公钥。是否可以禁用信任证书验证？

Answer 1

默认情况下，所有TLS客户端都应验证它们所连接的服务器。任何其他默认行为都是危险的。

客户端是在单向TLS握手中执行验证的一方（即，当客户端还向服务器提供证书时，没有执行客户端身份验证时）。

只有两种方法可以避免将服务器的证书分发给所有可能的客户端：

1. 获取由受信任的证书颁发机构（CA）签名的服务器证书
2. 修改所有可能的客户端以忽略证书的任何问题（例如不信任它）

目前，提供免费域名证书，例如： Let's Encrypt，愚蠢的不使用合法CA签署的证书。