Нужен ли доверительному хранилищу сертификат ЦС для аутентификации?

Я использую WSO2 ESB 4.0.0 и Application Server 4.1.0, чтобы общаться друг с другом через SSL. Оба были настроены с одним и тем же хранилищем ключей. Оба на разных серверах. Причина этого в том, что WSAS взаимодействует только с ESB. Мой сертификат не является самоподписанным.

Мой вопрос; чтобы WSAS взаимодействовал только с ESB, нужно ли мне также импортировать сертификат ЦС в хранилище доверенных сертификатов WSAS? Я полагаю, что это завершит цепочку доверия?

Если я не импортирую сертификат ЦС, я получаю в своем журнале WSAS следующее:

INFO   | jvm 1    | 2011/11/16 15:56:21 | javax.net.ssl.SSLHandshakeException: null cert chain
INFO   | jvm 1    | 2011/11/16 15:56:21 |   at com.sun.net.ssl.internal.ssl.Handshaker.checkThrown(Handshaker.java:1015)
INFO   | jvm 1    | 2011/11/16 15:56:21 |   at com.sun.net.ssl.internal.ssl.SSLEngineImpl.checkTaskThrown(SSLEngineImpl.java:480)
INFO   | jvm 1    | 2011/11/16 15:56:21 |   at com.sun.net.ssl.internal.ssl.SSLEngineImpl.writeAppRecord(SSLEngineImpl.java:1120)
INFO   | jvm 1    | 2011/11/16 15:56:21 |   at com.sun.net.ssl.internal.ssl.SSLEngineImpl.wrap(SSLEngineImpl.java:1092)
INFO   | jvm 1    | 2011/11/16 15:56:21 |   at javax.net.ssl.SSLEngine.wrap(SSLEngine.java:452)

Спасибо


java ssl wso2 truststore wso2esb
person user1050468    schedule 16.11.2011    source источник

Ответы (2)


arrow_upward
3
arrow_downward

Вам понадобится сертификат, если ваш эмитент сертификата является промежуточным центром сертификации, например GoDaddy или чем-то подобным. Промежуточный сертификат устанавливает цепочку сертификатов от вашего сертификата до вашего ненадежного промежуточного ЦС и в конечном итоге завершается (надеюсь) в доверенном корневом центре сертификации.

person digitaljoel    schedule 16.11.2011
comment
Спасибо, digitaljoel, это имеет смысл. - person user1050468; 17.11.2011

arrow_upward
5
arrow_downward

Все сертификаты в цепочке сертификатов должны быть доступны для кода Java, проверяющего цепочку. Если у вас есть общедоступный сертификат, то очень вероятно, что корневой и промежуточный ЦС уже находятся в списке доверенных сертификатов ЦС, которые использует Java. Если нет, то вам нужно будет добавить их в свой доверенный магазин.

person John Haager    schedule 17.11.2011
comment
Отличное объяснение, Джон. Это подтверждает то, что я думал о завершении цепочки сертификатов. - person user1050468; 17.11.2011