动态SSL密钥库/证书选择

Question

我的应用程序是在websphere上运行的Web服务提供者，并且SOAP Web服务客户端由多个特定于每个客户端的密钥库组成。该应用程序需要迁移到tomcat，我很震惊，因为我需要使用不同的证书来建立基于传入客户端请求的后端服务器的TLS连接

我正在使用springboot并有一种方法来配置密钥库和可信任。紧接着下面的链接：

http://zoltanaltfatter.com/2016/04/30/soap-over-https-with-client-certificate-authentication/

我想设置为基于客户端运行时的证书/密钥库。为此，我连线密钥库和配置（客户端）名称，以便我可以动态使用客户端特定的密钥库。但这是紧密耦合的，每当我有一个新的客户端，我需要为客户端创建一个条目并设置相应的密钥库。

但是我想到了另一种方法，比如我将所有证书都保存在一个密钥库中，我们如何动态访问客户端特定的证书？

Answer 1

您可以使用密钥库来管理您的所有客户端证书，这些证书将通过别名进行标识。

默认KeyManager将在握手中选择第一个证书，因此在创建连接之前无需构建自己的X509KeyManager来指定要使用的别名。见How I can tell alias of the wanted key-entry to SSLSocket before connecting?

KeyStore keystore = ... //The keystore with all your certificates 

//The keymanager for an specific connection 
KeyManagerFactory kmf= KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm()); 
kmf.init(keystore, password.toCharArray()); 

//Create a keyManager wrapper that returns the alias to use 
final X509KeyManager origKm = (X509KeyManager)kmf.getKeyManagers()[0]; 
X509KeyManager km = new X509KeyManager() { 
    public String chooseClientAlias(String[] keyType, Principal[] issuers, Socket socket) { 
     return "alias"; 
    } 

    public X509Certificate[] getCertificateChain(String alias) { 
     return origKm.getCertificateChain(alias); 
    } 

// override the rest of the methods delegating to origKm ... 
} 

在HttpsUrlConnectionMessageSender

HttpsUrlConnectionMessageSender messageSender = new HttpsUrlConnectionMessageSender(); 
//messageSender.setKeyManagers(keyManagerFactory.getKeyManagers()); 
messageSender.setKeyManagers(new KeyManager[] { km });