java SSL i magazyn kluczy certyfikatów

Skąd mój program java wie, gdzie jest mój magazyn kluczy zawierający certyfikat? Lub alternatywnie, jak wskazać programowi Java, gdzie ma szukać magazynu kluczy?

Po określeniu w jakiś sposób magazynu kluczy, jak określić certyfikat, który będzie używany do uwierzytelniania serwera na kliencie?

System.setProperty("javax.net.ssl.trustStore", path_to_your_jks_file);

Właściwości SSL są ustawiane na poziomie maszyny JVM za pośrednictwem właściwości systemowych. Oznacza to, że możesz je ustawić podczas uruchamiania programu (java -D ....) lub możesz ustawić je w kodzie, wykonując System.setProperty.

Konkretne klucze, które musisz ustawić, znajdują się poniżej:

javax.net.ssl.keyStore - lokalizacja pliku kluczy Java zawierającego certyfikat i klucz prywatny procesu aplikacji. W systemie Windows określona nazwa ścieżki musi zawierać ukośniki / zamiast ukośników odwrotnych.

javax.net.ssl.keyStorePassword - hasło umożliwiające dostęp do klucza prywatnego z pliku kluczy określonego przez javax.net.ssl.keyStore. To hasło jest używane dwukrotnie: aby odblokować plik magazynu kluczy (hasło przechowywania) i odszyfrować klucz prywatny przechowywany w magazynie kluczy (hasło klucza).

javax.net.ssl.trustStore - lokalizacja pliku kluczy Java zawierającego zbiór certyfikatów CA zaufanych przez ten proces aplikacji (magazyn zaufanych certyfikatów). W systemie Windows określona nazwa ścieżki musi zawierać prawe ukośniki /zamiast odwrotnych ukośników \.

Jeśli lokalizacja zaufanych certyfikatów nie zostanie określona za pomocą tej właściwości, implementacja SunJSSE wyszukuje i używa pliku kluczy w następujących lokalizacjach (w kolejności):

1. $JAVA_HOME/lib/security/jssecacerts
2. $JAVA_HOME/lib/security/cacerts

javax.net.ssl.trustStorePassword - hasło do odblokowania pliku kluczy (hasło magazynu) określonego przez javax.net.ssl.trustStore.

javax.net.ssl.trustStoreType - (opcjonalne) W przypadku formatu pliku kluczy Java ta właściwość ma wartość jks (lub JKS). Zwykle nie określa się tej właściwości, ponieważ jej wartość domyślna to już jks.

javax.net.debug - aby włączyć rejestrowanie dla warstwy SSL / TLS, ustaw tę właściwość na ssl.

Tylko słowo ostrzeżenia. Jeśli próbujesz otworzyć istniejący magazyn kluczy JKS w Javie 9 i nowszych, musisz wspomnieć również o następujących właściwościach z wartością „JKS”:

javax.net.ssl.keyStoreType
javax.net.ssl.trustStoreType

Powodem jest to, że domyślny typ magazynu kluczy określony w pliku java.security został zmieniony na pkcs12 z jks od wersji Java 9.

Przede wszystkim istnieją dwa rodzaje magazynów kluczy.

Indywidualne i ogólne

Aplikacja użyje tego wskazanego podczas uruchamiania lub domyślnego systemu.

Będzie to inny folder, jeśli uruchomione jest środowisko JRE lub JDK lub jeśli zaznaczysz folder osobisty lub „globalny”.

Są też zaszyfrowane

Krótko mówiąc, ścieżka będzie wyglądać następująco:

$JAVA_HOME/lib/security/cacerts dla „ogólnego”, który ma wszystkie CA dla organów i jest dość ważny.

możesz również wspomnieć o ścieżce w czasie wykonywania, używając -Dwłaściwości jak poniżej

-Djavax.net.ssl.trustStore=/home/user/SSL/my-cacerts 
-Djavax.net.ssl.keyStore=/home/user/SSL/server_keystore.jks

W mojej aplikacji Apache Spark udostępniłem ścieżkę certyfikatów i magazynu kluczy za pomocą --confopcji oraz extraJavaoptionsw funkcji przesyłania iskier, jak poniżej

--conf 'spark.driver.extraJavaOptions= 
-Djavax.net.ssl.trustStore=/home/user/SSL/my-cacerts 
-Djavax.net.ssl.keyStore=/home/user/SSL/server_keystore.jks'