Как получить цепочку сертификатов сервера, а затем убедиться, что она действительна и надежна в Java

Question

Мне нужно создать соединение Https с удаленным сервером, затем получить и проверить сертификат.

Я установил соединение в порядке:

try {  
    url = new URL(this.SERVER_URL);  
    HttpURLConnection con = (HttpURLConnection) url.openConnection();   
    HttpsURLConnection secured = (HttpsURLConnection) con;  
    secured.connect(); 
}  

Но, похоже, getServerCertificateChain() метод не определен типом HttpsURLConnection.

Так как мне получить цепочку сертификатов сервера? Насколько я понимаю, getServerCertificateChain() должен возвращать массив объектов X509Certificate и что в этом классе есть методы, которые я могу использовать для запроса сертификата.

Мне нужно убедиться, что:

1. сертификат действителен и надежен,
2. проверить точку распространения списка отзыва сертификатов по серийному номеру сертификата
3. убедитесь, что он не истек и
4. проверьте, что URL в сертификате совпадает с другим (который я уже получил).

Я потерян и буду очень признателен за любую помощь!

Answer 1

Требуемый метод: getServerCertificates , а не getServerCertificateChain. Вот хороший пример кода здесь .

---

EDIT

Добавлен мой собственный пример кода. Хорошая отправная точка для вас. Не забудьте взглянуть на Javadocs для HttpsURLConnection и X509Certificate .

import java.net.URL;
import java.security.cert.Certificate;
import java.security.cert.CertificateExpiredException;
import java.security.cert.X509Certificate;

import javax.net.ssl.HttpsURLConnection;

public class TestSecuredConnection {

    /**
     * @param args
     */
    public static void main(String[] args) {
        TestSecuredConnection tester = new TestSecuredConnection();
        try {
            tester.testConnectionTo("https://www.google.com");
        } catch (Exception e) {
            e.printStackTrace();
        }
    }

    public TestSecuredConnection() {
        super();
    }

    public void testConnectionTo(String aURL) throws Exception {
        URL destinationURL = new URL(aURL);
        HttpsURLConnection conn = (HttpsURLConnection) destinationURL
                .openConnection();
        conn.connect();
        Certificate[] certs = conn.getServerCertificates();
        for (Certificate cert : certs) {
            System.out.println("Certificate is: " + cert);
            if(cert instanceof X509Certificate) {
                try {
                    ( (X509Certificate) cert).checkValidity();
                    System.out.println("Certificate is active for current date");
                } catch(CertificateExpiredException cee) {
                    System.out.println("Certificate is expired");
                }
            }
        }
    }
}

Answer 2

Быстрый поиск в Google привел меня к этому примеру, используя BouncyCastle.Я думаю, что это лучше отвечает на вопрос.http://www.nakov.com/blog/2009/12/01/x509-certificate-validation-in-java-build-and-verify-chain-and-verify-clr-with-bouncy-castle/

Answer 3

Этот пример кода, упомянутый Кирби и arulraj.net, был удален из Apache CXF в 2011 году и не поддерживал OCSP.Проект Apache PDFBox"воскресил" этот код и добавил поддержку OCSP и другие функции, отсутствующие в исходном коде, например, проверку подписи CRL.Начиная с версии 2.0.13, улучшенный исходный код доступен в подпроекте examples, в классе CertificateVerifier.Он также доступен онлайн с небольшими улучшениями.

Код не претендует на совершенство и еще не проверяет, является ли корень доверенным.Разработка отслеживается в выпуске JIRA PDFBOX-3017 .