ActiveMQ с SSL и самоподписанными сертификатами; клиенты, не содержащие надлежащих сертификатов, могут подключиться к брокеру

У меня есть несколько самоподписанных сертификатов для использования SSL / TLS через ActiveMQ и несколько клиентов Java. Хранилище ключей брокера содержит корневой сертификат, а хранилище доверенных сертификатов брокера - открытый ключ клиента. клиентское хранилище ключей содержит клиентский открытый и закрытый ключи, объединенные в файл PKCS12, как того требует хранилище ключей, а клиентское хранилище доверенных сертификатов содержит < сильный> корневой сертификат

Теперь эта конфигурация работает нормально. Моя проблема в том, что он отлично работает, даже когда я использую несовпадающие клиентские сертификаты и ключи, но сохраняю один и тот же корневой сертификат на стороне брокера и клиента. Соединение брокер-клиент не работает, только если я использую несоответствующие корневые сертификаты. Я хотел бы знать, почему это происходит и что это за исправление, чтобы клиенты, использующие любую пару случайных ключей, чей открытый ключ не находится в хранилище доверенных сертификатов брокера, не могли подключиться к брокеру.

P.S. : Это в ActiveMQ версии 5.13.0 и TLS версии 1.2.


java ssl self-signed-certificate activemq
person ShreyasJavahar    schedule 18.06.2020    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Это в вики: https://cwiki.apache.org/confluence/display/ACTIVEMQ/How+do+I+use+SSL

Вам нужно добавить needClientAuth=true в транспортный коннектор на стороне сервера:

<broker>
  ...
  <transportConnectors>
    <transportConnector name="ssl" uri="ssl://0.0.0.0:61616?needClientAuth=true"/>  
  </<transportConnectors>

Требование аутентификации клиента не является стандартной настройкой. Обычно транспорт SSL настраивается только с сертификатом сервера, а клиенты используют аутентификацию по имени пользователя и паролю.

Проверка подлинности клиента не обеспечивает дополнительного шифрования. Это альтернатива для имени пользователя / паролей, но требует более серьезного обслуживания: продление сертификатов и т. Д.

person GreyFairer    schedule 18.06.2020
comment
Спасибо, это сработало. Не могли бы вы также помочь с этой связанной проблемой? цепочка нулевых сертификатов ActiveMQ - person ShreyasJavahar; 19.06.2020