我为什么会遇到握手故障（Java SSL）

Question

我通过HTTPS连接到Web服务。我已经完成了所有我认为需要的工作，但最终我得到了握手失败。

我发现作为一个新用户，由于“垃圾邮件保护”，我不能发布超过2个链接 - thanx很多* ...无论如何，这里是一个链接到一个pastebin帖子，所有链接拼写出来。 ..所以当我写“链接＃1”这是这些链接的引用：http://pastebin.com/y4zGNRC7

• 我使用的HttpClient（上取得成功的服务URL）和实际调用通过CXF代理Web服务验证了相同的行为我设置了密钥库和信任库 - 我尝试了“在代码中”的方式（链接＃1）和设置系统属性 - 即System.setProperty（“javax.net.ssl.keyStore”，“mykeystore .jks“）;
• SSL调试是（javax.net.debug =全部）
• SSL调试脱口而出两个密钥库和信任的内容（即看起来像Java“知道他们”） - 链接＃2
• 好像有一些客户端 - 服务器通信回事，但随后崩溃出于某种原因链接3
• 我在浏览器（Chrome）使用客户端和CA证书都使用的OpenSSL的s_client.First
• Wireshark的表演成功地连接到服务器来自java的更少的客户端 - 服务器对话（链接＃4）然后例如来自Chrome（链接＃5）

另一个奇怪的现象是，当我设置密钥库并且不知道时（我唯一的区别是当我在控制台中打印密钥库内容时，我似乎获得了相同的行为，但就是这样）。

我试着用Google搜索这个问题，我在这里看到了很多类似的帖子在*，但没有任何帮助。 我试着改变协议版本（“TLSv1”，“SSLv3”，甚至是怪异的v2 Hello）。 任何帮助，将不胜感激 - 也许有可能我忽略了一些基本的东西......我越来越绝望这里... 感谢名单

PS我在Fedora Core 15运行Java 1.6更新30（64位）

Answer 1

问题是，即使设置了密钥库和信任库，java也决定不将客户端证书发送到服务器。原因是服务器请求由RootCA授权机构签署的证书，但客户端证书由SubCA授权机构（由RootCA颁发）签署。

最初密钥库只包含客户端证书和信任库SubCA证书。 然后我试着将SubCA证书添加到密钥库，但是java只是忽略了它。

所以这解决了hanshake失败的奥秘，但不是我的问题。

我创建了一个单独的问题为...感叹:-( why doesn't java send the client certificate during SSL handshake?

Answer 2

您提供的信息不足，但我猜测您的客户端信任库未正确配置。信任库包含用于签署其他证书的可信证书，并且必须包含服务器和客户端证书链的根证书。客户端密钥库包含客户端SSL证书和私钥。

Answer 3

我认为不包含CA的信任存储库是最可能发生的问题。您可以使用Java keytool导入证书的网站为cacerts文件做这样的事情：

keytool -keystore pathtocacerts -import -trustcacerts -v -alias aliasName -file root.crt 

默认的cacerts密钥存储密码是changeit。 cacerts文件通常在jre/lib/security目录下。