tomcat配置不尊重证书的扩展密钥使用

Question

是否可以禁用Tomcats检查扩展密钥用法，该用法定义SSL证书的用途（服务器，客户端）？

在我的证书中，扩展密钥用法（目的）设置为SSLServer，但我也需要此证书进行客户端身份验证。

我想知道在Tomcat中是否可以跳过这个检查？

Answer 1

不，这是不可能的。

首先，无论“消耗”证书（即必须验证并验证它的实体），都要负责检查属性。如果您想使用Tomcat服务器中的应用程序连接到另一台服务器，则使用客户端身份验证，Tomcat中的应用程序就是该连接所关心的客户端。这取决于您要连接的服务器以决定要检查的内容（如果此扩展程序存在并且能够理解，它确实会检查扩展密钥的使用情况）。其次，从您身边更改扩展密钥用法扩展将意味着更改证书本身。就本质而言，只有当CA进行了这些修改并相应地给您一个新的证书时，这才应该是可能的。

这就是说，许多CA似乎在证书中启用了TLS Web服务器身份验证（1.3.6.1.5.5.7.3.1）和TLS Web客户端身份验证（1.3.6.1.5.5.7.3.2）他们发给服务器，没有任何额外的选项。