Spring security - Включить HTTPS - клиент получает 403 несанкционированных

Question

Я пытаюсь создать демонстрационное приложение с использованием Spring Security, мне нужно защитить мой Rest API с помощью SSL-сертификата. Вот шаги, которые я сделал для создания примера: 1- Сгенерировал файл JKS с помощью команды keytool:

keytool -genkey -keyalg RSA -alias tomcat -keystore selfsigned.jks -validity 365 -keysize 2048

2 - Преобразовал полученные jks в формат pkcs12:

keytool -genkey -keyalg RSA -alias tomcat -keystore selfsigned.jks -validity 365 -keysize 2048

3 - Создано приложение на стороне сервера следующим образом:

@EnableWebSecurity
public class X509AuthenticationServer extends WebSecurityConfigurerAdapter {


    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .anyRequest()
                .authenticated()
                .and()
                .x509()
                .subjectPrincipalRegex("OU=My self signed certificate");
    }

}

@Controller
@RequestMapping("/get")
public class UserController {
    @PostMapping(value = "/user")
    public String user(@RequestBody UserInfo userInfo) {

        return "Welcome: " + userInfo.getUsername();
    }
}


server.ssl.key-store=/Users/mymacuser/devhome/certpoc/selfsigned.jks
server.ssl.key-store-password=marwan
server.ssl.key-alias=tomcat
server.ssl.key-password=marwan
server.ssl.enabled=true
server.port=8443
spring.security.user.name=Admin
spring.security.user.password=admin
spring.security.require-ssl=true

4 - Создано приложение на стороне клиента следующим образом:

@Configuration
public class BeanConfig {

    @Bean("httpsClient")
    public RestTemplate getSSLRestTemplate() throws IOException, CertificateException, NoSuchAlgorithmException, KeyStoreException, UnrecoverableKeyException, KeyManagementException {
        char[] storePassword = "marwan".toCharArray();
        File keyStore =  new File("/Users/mymacuser/devhome/certpoc/selfsigned.jks");

        SSLContext sslContext = new SSLContextBuilder()
                .loadTrustMaterial(keyStore, storePassword)
                .loadKeyMaterial(keyStore, storePassword, storePassword)
                .build();

        SSLConnectionSocketFactory socketFactory = new SSLConnectionSocketFactory(sslContext, NoopHostnameVerifier.INSTANCE);

        CloseableHttpClient client = HttpClients.custom().setSSLSocketFactory(socketFactory).build();
        HttpComponentsClientHttpRequestFactory factory = new HttpComponentsClientHttpRequestFactory(client);
        RestTemplate restTemplate = new RestTemplate(factory);
        // restTemplate.setMessageConverters(List.of(new Jaxb2RootElementHttpMessageConverter()));
        return restTemplate;
    }

@RestController
@RequestMapping("/get")
public class ClientController {

    @Autowired
    @Qualifier("httpsClient")
    private RestTemplate httpsClient;


    @RequestMapping("/user")
    public String getUserFromServer() throws URISyntaxException {

        ResponseEntity<String> s = httpsClient.exchange("https://localhost:8443/get/user", HttpMethod.POST, new HttpEntity<UserInfo>(new UserInfo("marwan")), String.class);
        return s.getBody();

    }
}

Как вы можете заметить, моя сторона клиента (MITM) человек в промежуточном сервисе, которому я звоню по запросу POSTMAN или curl.

Когда я вызываю свой запрос к сервису MITM, я получаю в ответ:

{
    "timestamp": "2020-02-17T09:16:20.399+0000",
    "status": 500,
    "error": "Internal Server Error",
    "message": "403 : [{\"timestamp\":\"2020-02-17T09:16:20.325+0000\",\"status\":403,\"error\":\"Forbidden\",\"message\":\"Forbidden\",\"path\":\"/get/user\"}]",
    "path": "/get/user"
}

I попытался распечатать журналы сети для MITM и на стороне сервера, и оба показали, что они обмениваются правильным сертификатом

Answer 1

Хорошо, так что я решил эту проблему, и вот решение на случай, если кто-то заинтересован: В TLS есть два разных хранилища: KeyStore - используется для хранения ключей, которые будут использоваться для продажи идентификации другого партнера. TrustStore - User to ключи разорванных доверенных узлов Для аутентификации на стороне сервера необходимо также указать доверенное хранилище и включить сертификат клиента. Также необходимо добавить следующее свойство в файл application.properties:

server.ssl.client-auth=need

Таким образом, application.proprties должно содержать:

server.ssl.trust-store=file:/Users/mymacuser/devhome/certpoc/trust.jks
server.ssl.trust-store-type=JKS
server.ssl.trust-store-password=marwan
server.ssl.client-auth=need